怎么配置 pg_hba.conf 允许特定 IP 段免密码登录 PG

在 PostgreSQL 中配置特定 IP 段免密码登录，需要修改 data 目录下的 pg_hba.conf 文件，将对应网段的认证方法（METHOD）设置为 trust。此配置仅适用于可信内网环境，若暴露在公网会导致数据库完全失控。

先说结论：通过 pg_hba.conf 设置 trust 方法可实现免密，但必须严格限制 IP 范围并置于规则列表前列。

适合：内部可信网络、自动化运维脚本、本地开发环境
先准备：备份原配置文件，确认客户端 IP 段 CIDR 格式
验收：使用 psql 命令从目标 IP 连接，确认不提示输入密码

命令速用版

# pg_hba.conf 配置示例
# TYPE  DATABASE        USER            ADDRESS                 METHOD
host    all             all             192.168.1.0/24          trust

# 重载配置命令（无需重启）
SELECT pg_reload_conf();
# 或命令行
pg_ctl reload -D /path/to/data

为什么会这样

PostgreSQL 的客户端认证由 pg_hba.conf 控制，文件按行从上到下匹配，第一条匹配成功的规则生效。trust 方法表示服务器信任该来源的连接请求，跳过密码验证环节。若规则顺序错误，可能被后方的 md5 或 scram-sha-256 规则拦截。

分步处理

步骤 1：定位配置文件
登录数据库执行 SHOW hba_file; 查看路径，或直接在 data 目录查找 pg_hba.conf。

步骤 2：编辑规则
在文件头部或特定位置添加 host 类型记录，指定 TYPE 为 host，ADDRESS 为 IP 段，METHOD 为 trust。确保该行位于其他限制规则之前。

步骤 3：重载配置
执行 SELECT pg_reload_conf(); 或使用 pg_ctl reload。修改 pg_hba.conf 不需要重启数据库服务。

步骤 4：回滚准备
若配置错误导致无法连接，需通过本地 socket 登录恢复文件，或直接从备份还原 pg_hba.conf 后重载。

怎么验证是否生效

在目标 IP 段的机器上执行 psql -h 数据库 IP -U 用户名 -d 数据库名。若直接进入命令行界面且未提示 Password for user，则配置生效。也可查看数据库日志，确认连接记录中认证方法显示为 trust。

常见坑

规则顺序错误：具体 IP 段规则必须写在通用规则（如 0.0.0.0/0）之前。
未重载配置：修改文件后未执行 reload，配置不生效。
IPv4 与 IPv6 混淆：host 对应 IPv4，hostssl 或特定 IPv6 地址需单独配置。
安全风险：trust 模式下拥有用户名即可登录，切勿对公网 IP 开放。

常见问题

修改 pg_hba.conf 需要重启数据库吗？

不需要。执行 pg_reload_conf() 或 pg_ctl reload 即可使配置生效，重启仅在新加扩展或修改 postgres.conf 部分参数时需要。

trust 模式和 md5 模式有什么区别？

trust 模式不验证密码，任何知道用户名的人均可登录；md5 模式需要客户端提供正确的密码哈希值，安全性更高。

配置后连接仍然提示密码错误怎么办？

检查 pg_hba.conf 中该 IP 段上方是否有其他规则优先匹配，或确认客户端 IP 是否真的落在配置的 CIDR 网段内。

参考来源

PostgreSQL Documentation: The pg_hba.conf File, https://www.postgresql.org/docs/current/auth-pg-hba-conf.html