已禁用SSL仍在Docker/Portainer中出现PostgreSQL SSL连接错误

错误现象 #

在Portainer中通过Docker Compose部署搭配PostgreSQL的FastAPI应用时，出现SSL连接错误，本地运行正常：

sqlalchemy.exc.OperationalError: (psycopg2.OperationalError) connection to server at "db" (172.27.0.2), port 5432 failed: server does not support SSL, but SSL was required

排查步骤与解决办法 #

1. 确认数据库连接URL是否正确生效 #

你的get_database_url方法拼接了带sslmode=disable的URL，但需验证代码是否真的使用了这个拼接后的URL：

• 检查stack.env文件，若其中定义了DATABASE_URL变量，会直接覆盖代码中拼接的URL。如果该变量未携带sslmode=disable参数，就会触发SSL连接要求。
• 临时在代码中添加日志输出最终使用的连接URL，部署后查看后端容器日志确认：

  db_url = get_database_url()
  print(f"Active Database URL: {db_url}")
  

2. 彻底验证PostgreSQL容器的SSL配置 #

虽然你在docker-compose.yml中给db容器添加了-c ssl=off参数，仍需确认配置是否生效：

• 进入db容器执行命令查看当前SSL状态：

  docker exec -it db psql -U balancer -c "SHOW ssl;"
  

  若输出不是off，说明参数未生效。可修改db容器的command配置，彻底禁用SSL相关项：

  command: postgres -c ssl=off -c ssl_cert_file='' -c ssl_key_file=''
  

3. 检查Portainer环境变量优先级 #

Portainer部署时，环境变量的加载顺序可能与本地docker-compose不同：

• 确认stack.env中的变量与docker-compose.yml的environment块无冲突（比如DISABLE_SSL是否在两个地方都有定义）。
• 在Portainer的栈详情页面查看最终生效的环境变量，确认DISABLE_SSL为true，且DATABASE_HOST、DATABASE_PORT等参数正确。

4. 直接在SQLAlchemy连接参数中禁用SSL #

部分版本的psycopg2会默认要求SSL连接，即使URL中已指定sslmode=disable。可在connect_args中明确添加禁用参数：

connect_args = {"check_same_thread": False} if settings.USE_SQLITE else {
    "connect_timeout": 5,
    "sslmode": "disable"
}

5. 确认镜像构建一致性 #

本地正常但Portainer出错，可能是镜像构建差异：

• 检查Portainer构建的后端镜像与本地依赖版本是否一致（核对requirements.txt中psycopg2、SQLAlchemy的版本）。
• 在本地执行docker-compose -f docker-compose.yml up --build模拟Portainer的构建流程，看是否能复现问题，排除Portainer部署特有的问题。

内容的提问来源于stack exchange，提问作者Francisco Aguilera