PG slter password_encryption设置后，用户密码加密方式未生效如何解决？

Question

在PostgreSQL中，若设置`password_encryption`参数后用户密码加密方式未生效，可能涉及以下原因：1) 数据库未正确重启导致配置未加载；2) 创建用户时使用了明文密码的`PASSWORD 'xxx'`语法，绕过了加密机制；3) 客户端连接时使用了旧版MD5认证方式。 解决方法：首先确认`postgresql.conf`中`password_encryption = scram-sha-256`已正确配置并重启数据库服务。其次，创建用户时避免直接指定明文密码，改用`ALTER ROLE ... PASSWORD NULL;`后重新设置密码。最后，检查客户端连接配置是否支持SCRAM-SHA-256认证方式，必要时升级客户端驱动或调整认证协议以匹配加密类型。

Answer 1

1. 问题概述

在PostgreSQL中，如果设置`password_encryption`参数后用户密码加密方式未生效，可能是由于多种原因导致的。以下是可能涉及的原因以及解决方法的详细分析。

• 数据库未正确重启导致配置未加载。
• 创建用户时使用了明文密码的`PASSWORD 'xxx'`语法，绕过了加密机制。
• 客户端连接时使用了旧版MD5认证方式。

2. 原因分析与解决方案

以下是对每个可能原因的深入分析以及对应的解决方案：

2.1 数据库未正确重启

当在`postgresql.conf`文件中设置了`password_encryption = scram-sha-256`后，如果没有正确重启数据库服务，新配置将无法生效。PostgreSQL需要通过重启来加载新的配置参数。

# 确认配置文件中的参数
password_encryption = scram-sha-256

# 重启PostgreSQL服务
sudo systemctl restart postgresql

2.2 创建用户时绕过加密机制

如果在创建或修改用户时直接使用了`PASSWORD 'xxx'`语法，PostgreSQL会默认以明文形式存储密码，而忽略`password_encryption`的设置。为了避免这种情况，可以通过以下步骤重新设置密码：

1. 将用户的密码置为空：`ALTER ROLE username PASSWORD NULL;`
2. 重新设置密码，确保使用加密机制：`ALTER ROLE username PASSWORD 'new_password';`

2.3 客户端连接使用旧版MD5认证方式

即使服务器端已经启用了SCRAM-SHA-256加密，但如果客户端仍然使用旧版的MD5认证方式，可能会导致认证失败或继续使用MD5加密。以下是检查和升级客户端驱动的方法：

步骤	操作
1	确认客户端驱动版本是否支持SCRAM-SHA-256。
2	如果不支持，升级到最新版本的客户端驱动。
3	调整客户端连接配置以匹配SCRAM-SHA-256认证协议。

3. 流程图说明

以下是针对上述问题的解决流程图，帮助快速定位和解决问题：

graph TD;
            A[问题发生] --> B{配置是否生效};
            B --是--> C{创建用户是否绕过};
            B --否--> D[检查数据库重启];
            C --是--> E[重置密码];
            C --否--> F{客户端是否支持};
            F --否--> G[升级客户端];
            F --是--> H[完成];