Kubernetes中Quarkus应用连接PostgreSQL失败：密码认证错误

问题现象 #

FATAL: password authentication failed for user ""

配置背景 #

数据库凭证注入（GitHub Action + Helm） #

通过Helm --set 参数从GitHub Secrets注入环境变量：

--set env.DB_URL="${{ secrets.DB_URL_PROD }}" \
--set env.DB_USERNAME="${{ secrets.DB_USERNAME_PROD }}" \
--set env.DB_PASSWORD="${{ secrets.DB_PASSWORD_PROD }}"

Quarkus应用配置 #

从环境变量读取数据库连接信息：

quarkus.datasource.jdbc.url=${DB_URL}
quarkus.datasource.username=${DB_USERNAME}
quarkus.datasource.password=${DB_PASSWORD}

Dockerfile配置 #

预先声明空环境变量，允许运行时覆盖：

ENV DB_URL=""
ENV DB_USERNAME=""
ENV DB_PASSWORD=""

其他背景 #

• CI/CD流水线使用本地PostgreSQL测试正常
• 已确认Azure中存储的Secrets用户名/密码正确，本地机器用相同凭证可正常连接目标数据库
• 近期更新过数据库密码

核心疑问 #

1. 为何本地凭证可用，Kubernetes中认证失败？
2. 是否和Kubernetes/Quarkus对DB_URL的解析有关？
3. Kubernetes、Helm或Quarkus是否有特定机制导致环境变量/连接异常？

排查思路与解决方案 #

1. 验证Kubernetes Pod中环境变量的实际值 #

直接查看Pod内的环境变量，确认注入的凭证是否正确：

# 替换为你的Quarkus Pod名称
kubectl exec <your-quarkus-pod> -- printenv | grep -E "DB_URL|DB_USERNAME|DB_PASSWORD"

• 若DB_PASSWORD为空或异常：
  • 确认GitHub Secrets中的DB_PASSWORD_PROD已更新为新密码
  • 检查Helm命令的引号转义逻辑（GitHub Action中双引号可能被解析丢失）
  • 建议改用Kubernetes Secret管理敏感凭证，避免--set直接传递（--set参数会暴露在Pod事件和Helm历史中）

2. 检查DB_URL的格式与解析 #

PostgreSQL JDBC URL标准格式为：jdbc:postgresql://<host>:<port>/<database-name>

• 确认DB_URL包含完整协议头jdbc:postgresql://，Quarkus不会自动补全
• 若URL含特殊字符（如@、:、/），需做URL编码处理
• 在Pod内用psql直接测试连接，排除Quarkus配置问题：

kubectl exec <your-quarkus-pod> -- psql "${DB_URL}" -U "${DB_USERNAME}" -W
# 输入密码后验证连接

3. 排查PostgreSQL端的认证日志 #

查看PostgreSQL服务器日志（Azure PostgreSQL可在Portal日志面板查看）：

• 确认实际收到的用户名是否正确（PostgreSQL用户名默认区分大小写）
• 检查Kubernetes集群IP是否在PostgreSQL防火墙/白名单中
• 确认数据库用户的认证方式为md5或scram-sha-256，避免使用trust/peer等本地认证机制

4. 检查Quarkus配置加载优先级 #

Quarkus配置有加载顺序，确认是否存在其他配置源覆盖环境变量：

• 检查Pod是否挂载了application.properties/application.yaml，其中的数据库配置是否覆盖环境变量
• 查看Quarkus启动日志，确认实际加载的数据源参数：

kubectl logs <your-quarkus-pod> | grep -E "datasource.jdbc.url|datasource.username"

5. 处理密码特殊字符的转义问题 #

若密码含$、!、@等特殊字符，Helm --set中需正确转义：

• GitHub Action中特殊字符需双重转义（如$写成$$）
• 推荐用Kubernetes Secret存储凭证，通过环境变量引用：

# Helm Chart中配置环境变量从Secret读取
env:
  DB_URL:
    valueFrom:
      secretKeyRef:
        name: db-secrets
        key: db-url
  DB_USERNAME:
    valueFrom:
      secretKeyRef:
        name: db-secrets
        key: db-username
  DB_PASSWORD:
    valueFrom:
      secretKeyRef:
        name: db-secrets
        key: db-password

在GitHub Action中创建Secret：

kubectl create secret generic db-secrets \
  --from-literal=db-url="${{ secrets.DB_URL_PROD }}" \
  --from-literal=db-username="${{ secrets.DB_USERNAME_PROD }}" \
  --from-literal=db-password="${{ secrets.DB_PASSWORD_PROD }}"

内容的提问来源于stack exchange，提问作者user16993210