PostgreSQL 口令認(rèn)證

有幾種基于口令的認(rèn)證方法。這些方法的過程類似，但是區(qū)別在于用戶口令如何被存放在服務(wù)器上以及客戶端提供的口令如何被通過連接發(fā)送。

PostgreSQL數(shù)據(jù)庫口令獨(dú)立于操作系統(tǒng)用戶口令。每個(gè)數(shù)據(jù)庫用戶的口令被存儲(chǔ)在pg_authid系統(tǒng)目錄中?？诹羁梢杂?SQL 命令CREATE USER和ALTER ROLE管理，例如CREATE ROLE foo WITH LOGIN PASSWORD 'secret'或者psql的\password命令。如果沒有為一個(gè)用戶設(shè)置口令，那么存儲(chǔ)的口令為空并且對(duì)該用戶的口令認(rèn)證總會(huì)失敗。

不同的基于口令的認(rèn)證方法的可用性取決于用戶的口令在服務(wù)器上是如何被加密（或者更準(zhǔn)確地說是哈希）的。這由設(shè)置口令時(shí)的配置參數(shù)password_encryption控制。如果口令使用scram-sha-256設(shè)置加密，那么它可以被用于認(rèn)證方法scram-sha-256和 password（但后一種情況中口令將以明文傳輸）。如上所釋，在這種情況下，指定的認(rèn)證方法md5將自動(dòng)切換到使用scram-sha-256方法。如果口令使用md5設(shè)置加密，那么它僅能用于md5和password認(rèn)證方法說明（同樣，后一種情況中口令以明文傳輸）。（之前的PostgreSQL發(fā)行版支持在服務(wù)器上存儲(chǔ)明文口令?，F(xiàn)在已經(jīng)不可能了）。要檢查當(dāng)前存儲(chǔ)的口令哈希，可以參考系統(tǒng)目錄 pg_authid。

要把現(xiàn)有的安裝從md5升級(jí)到scram-sha-256，可以在確保所有在用的客戶端已經(jīng)足以支持SCRAM之后，在postgresql.conf中設(shè)置password_encryption = 'scram-sha-256'，然后讓所有用戶設(shè)置新口令并且在 pg_hba.conf中將認(rèn)證方法說明改為scram-sha-256.