DuckDB：如何在Postgres连接字符串中掩码密码或使用变量？

针对你使用DuckDB的ATTACH语句连接Postgres时的密码明文暴露问题，目前有两种成熟的解决方案：

一、使用环境变量（推荐） #

这是最安全且常用的方式，可彻底避免明文密码出现在代码、命令历史或日志中：

1. 设置环境变量
   根据你的操作系统执行对应命令：
   • Linux/macOS终端：

     export POSTGRES_MYDB_PWD="mypassword"
     

   • Windows命令提示符：

     set POSTGRES_MYDB_PWD=mypassword
     

   • PowerShell：

     $env:POSTGRES_MYDB_PWD = "mypassword"
     

2. 在ATTACH语句中引用环境变量
   DuckDB支持通过$env()函数直接读取环境变量，修改后的语句如下：

   ATTACH 'dbname=mydb user=myuser host=myserverhost password=$env(POSTGRES_MYDB_PWD) port=5432' AS my_alias (TYPE postgres);
   

二、使用DuckDB会话级变量 #

如果仅需在当前DuckDB会话内临时处理密码，可先设置会话变量再引用：

1. 设置会话变量

   SET postgres_mydb_pwd = 'mypassword';
   

2. 执行ATTACH语句

   ATTACH 'dbname=mydb user=myuser host=myserverhost password=$postgres_mydb_pwd port=5432' AS my_alias (TYPE postgres);
   

   注意：这种方式的变量仅在当前会话有效，若会话历史被记录仍存在泄露风险，因此优先推荐环境变量方案。

关于你的疑问：DuckDB官方虽未在文档中单独针对该场景做专项说明，但环境变量方案是社区公认的成熟安全实践，完全适配Postgres连接的密码掩码需求。

内容的提问来源于stack exchange，提问作者James.Smith