Keycloak如何实现会话跨重启/升级持久化避免用户被强制登出？

1. 默认配置下集群迁移/升级确实会导致全员强制登出 #

Keycloak默认的普通在线用户会话仅存储在集群内置的Infinispan缓存中，不会写入后端MySQL等持久化数据库。你当前配置的CACHE_OWNERS_COUNT=3仅能保障运行状态下多副本缓存同步，只要触发全集群停机、版本升级、跨集群迁移操作，缓存内容清空后所有已登录用户的会话都会直接失效，必须重新登录。

2. 两种生产级可落地方案 #

方案一：使用官方原生Offline Sessions（离线会话），完全符合安全规范 #

这是官方推荐的移动端长期登录场景的标准实现，完全符合OAuth2/OIDC安全规范，不存在合规风险，落地步骤明确：

• 先在Keycloak对应移动端Client的配置页，开启offline_access权限，同时勾选「允许离线会话」开关
• 移动端发起登录授权请求时，在Scope参数中添加offline_access
• 生成的离线会话会自动持久化到后端MySQL数据库，不受缓存重启、集群迁移、版本升级影响，可按照配置的有效期长期生效
• 安全管控支持：可在后台配置离线会话的最大有效期、闲置过期时间，也支持随时手动吊销指定用户的离线会话，完全满足安全管控需求

方案二：开启普通在线会话持久化 #

如果不需要区分在线/离线会话逻辑，也可以直接开启普通在线会话的持久化配置：

• Keycloak 19+版本可直接添加启动参数--spi-sessions-infinispan-persist-user-sessions=true
• 开启后所有普通在线会话会同步写入后端数据库，集群重启后会自动从数据库恢复会话，不会导致用户登出
• 注意：该配置会增加数据库的写入压力，3副本架构下需要对应优化数据库读写性能，避免高峰时段出现性能瓶颈

3. 落地建议 #

• 优先选择离线会话方案：性能开销比开启全量会话持久化更低，安全管控能力更完善，适配移动端长期登录的典型场景
• 生产变更前先在预发环境做完整的重启、升级、跨集群迁移验证，确认会话有效性符合预期再上线
• 配置合理的会话过期策略：不建议设置无限期不过期，推荐最长有效期设置为90~180天，闲置过期设置为30天，平衡用户体验和安全风险

内容的提问来源于stack exchange，提问作者muddy