PostgreSQL對等身份驗證是否安全生產？

Question

PostgreSQL對等身份驗證是本網站上許多問題的來源，但一旦您瞭解它的工作原理，它看起來非常棒。

例如，我可以讓我的應用程序連接到開發數據庫，​​而無需提供用戶名和密碼。

所以，我的問題是，我可以在生產服務器上使用同級身份驗證嗎？它足夠安全嗎？

非常感謝。

Answer 1

peer對於多種部署非常有用 - 例如，當你想允許人們使用本地的unix用戶賬號登錄並且作爲一個匹配的PostgreSQL用戶獲得快速的數據庫訪問。

這對webapps來說並不好，因爲你通常希望每個webapp都有自己的用戶。所以你通常爲他們使用md5。

我經常把兩者結合起來。對於web應用程序，允許md5僅用於其私有數據庫 - 如果驅動程序支持，則使用local套接字，否則將使用來自localhost的host連接。允許本地用戶使用peer訪問任何數據庫，包括Web應用程序數據庫。如果你想在每個數據庫中只有一個用戶（所以你可以忽略權限 - 我不建議這樣做，但我知道有些人會這樣做），你可以使用pg_ident.conf映射來允許人們通過peer作爲用戶以外的用戶進行身份驗證默認用戶名。

然後你可以通過md5或gssapi（Kerberos的）加上來自外界hostssl連接，或者如果它是一個Windows DB主機。

身份驗證方法並非全部或無關緊要。有一個原因很容易提供一個替代品列表，並選擇第一個匹配的。