多副本部署下凭证状态不一致（幽灵凭证、间歇性401）

[ImogeneOctaviap794]

问题描述

使用 PostgreSQL 存储（PGSTORE_DSN）部署多个副本时，各 Pod 之间的凭证状态无法保持同步，导致：

1. 幽灵凭证：从管理面板删除凭证后，刷新页面凭证又出现（请求打到另一个 Pod）
2. 间歇性 401：Token 刷新只发生在一个 Pod 内存中，另一个 Pod 继续使用过期 Token，报错 {"detail":"Could not parse your authentication token. Please try signing in again."}
3. 数据来回跳动：前端操作结果不稳定，时而生效时而回退

根因分析

每个 Pod 启动时从 PG 一次性同步到本地文件系统（syncAuthFromDatabase），之后运行期间仅依赖 fsnotify 监听本地文件变化。凭证的增删改和 Token 刷新只影响处理请求的那个 Pod，其他 Pod 完全无感知。

简单说就是：PG 只在启动时读一次，运行时没有任何跨副本同步机制。

相关代码路径：

• internal/store/postgresstore.go - syncAuthFromDatabase() 只在 Bootstrap 时调用一次
• internal/watcher/events.go - processEvents() 只监听本地 fsnotify 事件
• internal/watcher/clients.go - persistAuthAsync() 写入 PG 后不通知其他副本

复现步骤

1. 使用 replicas: 2 + PGSTORE_DSN 部署
2. 从管理面板删除一个 Codex 凭证 → 请求命中 Pod A → 删除成功
3. 刷新页面 → 请求命中 Pod B → 被删的凭证"复活"
4. 等 Codex Token 过期 → Pod A 自动刷新成功 → Pod B 仍用旧 Token → 401

影响范围

所有使用 OAuth 的 Provider（Codex、Kiro、Copilot 等）在多副本下都会受影响。

建议修复方向

1. PG 定时轮询：每隔 N 秒检查 updated_at 变化，增量同步到本地文件和内存
2. PG LISTEN/NOTIFY：凭证写入时广播通知，各 Pod 实时监听并同步

当前规避方式

将副本数设为 1。

环境信息

• 版本：v6.8.50
• 部署方式：Kubernetes + PostgreSQL store
• 副本数：2（问题出现时）

[luispater]

一个凭证只能在一个地方存活，多地存活会导致互刷导致凭证随机失效。这个无解，你只有多次登录拿不同凭证给不同的实例使用。