postgresql - PostgreSQL 对等身份验证对生产安全吗？

Question

PostgreSQL 对等身份验证是该网站上许多问题的来源，但一旦您理解了它的工作原理，它看起来就非常棒了。

例如，我可以让我的应用程序在不提供用户名和密码的情况下连接到开发数据库。

那么，我的问题是，我可以在生产服务器上使用对等身份验证吗？够安全吗？

非常感谢。

Answer 1

peer 对于多种部署非常有用 - 例如当您希望允许人们使用本地 unix 用户帐户登录并作为匹配的 PostgreSQL 用户快速访问数据库时。

这对网络应用来说不是很好，因为您通常希望每个网络应用都有自己的用户。所以你通常对它们使用 md5。

我经常把两者结合起来。对于 webapps 只允许 md5 到它们的私有(private)数据库 - 如果驱动程序支持，则通过 local 套接字，否则通过 localhost< 的 host 连接。允许本地用户使用 peer 访问任何数据库，包括 webapp 数据库。如果你想在每个数据库中只有一个用户(这样你就可以忽略权限 - 我不推荐，但我知道有些人这样做)你可以使用 pg_ident.conf 映射来允许人们通过 peer 作为默认用户名以外的用户进行身份验证。

然后你可以通过 md5 或 gssapi (kerberos) 或 sspi 添加来自外部世界的 hostssl 连接> 如果它是 Windows 数据库主机。

身份验证方法不是全有或全无的事情。提供备选方案列表并选择第一个匹配的备选方案很容易是有原因的。