Keycloak审计日志缺失：启用保存事件设置后仍无登录日志

我之前也碰到过一模一样的问题，别着急，除了启用保存事件，还有几个关键配置你大概率没注意到，一个个来排查：

• 确认登录相关事件类型已勾选
  仅仅开启「保存事件」开关只是基础，你得在「事件」配置页的「事件类型」区域，明确勾选登录类事件——比如LOGIN（登录成功）、LOGIN_ERROR（登录失败）、LOGOUT（登出）这些。默认可能只勾选了部分系统事件，一定要把需要追踪的登录事件都选上，别忘了点击页面底部的保存按钮。

• 检查事件存储有效期设置
  如果「保存事件（天）」设得太短（比如0或1天），刚生成的登录日志可能很快就被自动清理了。建议把这个值改成合理的天数（比如7天），避免日志还没查看就被删除。

• 验证目标Realm的事件配置
  Keycloak的事件配置是Realm级别的独立设置，你是不是在主Realm里开了事件保存，但实际测试的是某个子Realm？要确保你正在使用的那个Realm，同样开启了事件保存并勾选了对应事件类型，每个Realm的配置互不影响。

• 确认事件监听器已启用
  去「事件」配置页的「事件监听器」部分，检查jboss-logging（默认日志监听器）是否在列表里。如果是用自定义监听器，还要确保它没有报错、能正常工作。另外，你查看日志的账号有没有view-events权限？普通用户是看不到事件日志的，得用具备管理员权限的账号登录管理后台。

• 查看Keycloak服务器日志排查异常
  如果以上都没问题，去翻Keycloak的服务器日志（比如standalone.log或keycloak.log），看看有没有和事件存储相关的报错——比如数据库连接失败（如果用DB存储事件）、文件权限不足导致无法写入日志等，日志里通常会给出明确的问题提示。

• 实际触发登录动作后再检查
  别光盯着管理后台页面，先手动做几次登录（成功、失败的场景都试试），然后回到「登录事件」页面按Ctrl+F5强制刷新，有时候可能是页面缓存没更新，或者你还没触发过任何登录事件。

内容的提问来源于stack exchange，提问作者Rajat Badjatya