Quarkus+Panache Hibernate如何应对RDS密钥轮换更新数据库连接

一、运行时动态刷新凭证（保留Panache方案） #

1. 实现实时拉取的自定义ConfigSource #

你的自定义ConfigSource问题在于仅初始化时拉取密钥，需修改逻辑，让每次获取密码时都从AWS Secrets Manager拉取最新值，而非缓存：

class AwsSecretsConfigSource : ConfigSource {
    override fun getName(): String = "aws-secrets"
    override fun getOrdinal(): Int = 200 // 优先级高于默认配置源

    override fun getProperty(name: String): String? {
        if (name == "quarkus.datasource.password") {
            // 每次调用都从Secrets Manager拉取最新密码
            return AwsSecretsManagerClient.create().getSecretValue(GetSecretValueRequest.builder()
                .secretId("your-secret-arn")
                .build()).secretString()
                .let { // 解析JSON获取密码字段
                    ObjectMapper().readTree(it).get("password").asText()
                }
        }
        return null
    }

    override fun getProperties(): MutableMap<String, String> = mutableMapOf()
    override fun getPropertyNames(): MutableSet<String> = mutableSetOf("quarkus.datasource.password")
}

注册该ConfigSource：在META-INF/services/org.eclipse.microprofile.config.spi.ConfigSource文件中添加类的全路径。

2. 配置Agroal连接池的连接验证 #

Quarkus默认使用Agroal连接池，需配置连接验证机制，确保每次从池内获取连接时检查有效性，失效则自动用新密码创建新连接：

quarkus:
  datasource:
    db-kind: postgresql
    username: ${your-db-username}
    password: ${quarkus.datasource.password}
    agroal:
      test-on-borrow: true # 借连接时执行验证
      validation-query: SELECT 1 # 轻量验证SQL
      validation-timeout: 5s
      min-size: 5
      max-size: 20

当旧密码导致连接验证失败时，连接池会丢弃该连接，调用ConfigSource获取最新密码创建新连接，Panache/Hibernate会自动复用新连接。

二、使用Quarkus官方AWS Secrets Manager扩展（更简便） #

Quarkus提供官方扩展支持动态刷新Secrets Manager配置，无需自行编写ConfigSource：

1. 添加依赖（Gradle示例）：

implementation("io.quarkiverse.amazonservices:quarkus-amazon-secrets-manager")

2. 配置application.yml：

quarkus:
  secrets-manager:
    enabled: true
    secrets:
      - secret-id: "your-secret-arn"
        prefix: "db" # 前缀，用于引用secret内的字段
  config:
    source:
      secrets-manager:
        refresh-interval: 5m # 每5分钟刷新一次配置
  datasource:
    db-kind: postgresql
    username: ${db:username} # 引用secret中的username字段
    password: ${db:password} # 引用secret中的password字段
    agroal:
      test-on-borrow: true
      validation-query: SELECT 1

扩展会自动定期拉取最新密钥，结合连接池验证，实现运行时自动切换新凭证。

三、ECS任务重启的正确方式 #

若不想修改代码，重启ECS任务是可行方案，但需确保任务重启时重新拉取最新密钥：

• 无需修改任务定义，直接触发强制部署：

aws ecs update-service --cluster your-cluster-name --service your-service-name --force-new-deployment

• 重启后，新启动的任务会重新初始化ConfigSource，拉取最新的Secrets Manager密钥，解决旧凭证问题。
• 若之前重启无效，检查自定义ConfigSource是否存在初始化缓存逻辑，确保重启时不会复用旧密码。

四、之前尝试方案的问题分析 #

• 自定义凭证提供者只初始化一次：默认凭证提供者逻辑为一次性获取，需修改为每次创建连接时调用获取最新密码，或结合连接池验证触发重新获取。
• 修改@ConfigProperty变量无效：@ConfigProperty注入的是初始化时的快照，底层ConfigSource未更新的话，修改变量不会影响数据源实际配置，必须从ConfigSource层面实现动态获取。

内容的提问来源于stack exchange，提问作者titiwon