GCP CloudSQL Postgres用户pgsox-user本地脚本可连接但CloudShell无法连接的问题咨询

云上老周

2026-4-23

看起来你遇到了一个挺有意思的连接差异问题，我来帮你梳理下可能的原因和排查方向：

一、先明确两种连接方式的核心差异

你的本地脚本连接和CloudShell里用gcloud sql connect的连接，本质上走的是完全不同的访问通道：

本地脚本连接：应该是直接通过CloudSQL的公共IP（本地能连大概率是这种情况），而且你的本地IP已经被添加到CloudSQL的授权网络列表里。这时候的身份验证完全由Postgres数据库本身处理——你输入的pgsox-user和sandbox密码直接和Postgres内部存储的用户密码匹配，所以能成功。
CloudShell的gcloud sql connect连接：这个命令其实是通过Cloud SQL Auth Proxy建立的隧道连接，不需要把CloudShell的IP加到授权网络里，因为它走的是Google内部服务通道。这时候的身份验证逻辑和直接IP连接可能存在差异。

CloudSQL的Postgres用户支持两种认证方式：密码认证和IAM身份认证。如果你的pgsox-user被误配置成了IAM身份认证，那用密码登录自然会失败——不过你本地能成功，说明大概率是密码认证？还是建议确认下：

打开CloudSQL控制台，找到你的rcw-test-pg实例，进入用户页面
找到pgsox-user，查看它的认证类型：如果是“Cloud IAM”，那这个用户只能通过IAM身份验证（比如用服务账号密钥或用户IAM凭证登录），不能用密码；如果是“密码”，那继续排查其他问题。

CloudShell的终端可能存在环境变量覆盖密码输入的情况：

在CloudShell里先执行echo $PGPASSWORD，看看有没有输出值。如果有，说明这个环境变量已经设置了某个密码，会覆盖你手动输入的sandbox
如果有值，执行unset PGPASSWORD清除这个环境变量，然后再重新运行gcloud sql connect rcw-test-pg --user=pgsox-user --quiet，输入密码试试。

CloudShell的终端在输入密码时是隐藏的，可能你输入的时候不小心多打/少打了字符（比如空格）。可以试试：

先在CloudShell里输入echo 'sandbox'确认输入内容正确，然后再在密码提示时仔细输入一遍；
或者，用命令直接传递密码（仅测试用，生产环境别这么干）：PGPASSWORD=sandbox gcloud sql connect rcw-test-pg --user=pgsox-user --quiet，看能不能成功连接。

虽然概率较低，但有时候Auth Proxy的连接会触发Postgres的不同验证规则。你可以试试在CloudShell里不用gcloud sql connect，而是直接用psql命令通过公共IP连接（前提是把CloudShell的IP加到CloudSQL的授权网络里）：

先在CloudShell里执行curl ifconfig.me获取当前CloudShell的公网IP；
登录CloudSQL控制台，把这个IP添加到实例的授权网络里；
然后在CloudShell里用psql "host=<你的CloudSQL公网IP> port=5432 dbname=<你的数据库名> user=pgsox-user password=sandbox"连接，看能不能成功。如果能成功，说明问题出在gcloud sql connect的Auth Proxy通道上；如果还是失败，那可能是数据库用户本身的问题。

你提到在IAM里创建了pgsox-user，又在Postgres里创建了同名用户——这两个是完全独立的身份：

IAM的pgsox-user是GCP层面的身份，用于控制对GCP资源的访问；
Postgres的pgsox-user是数据库层面的身份，用于控制对数据库对象的访问。
如果你的Postgres用户是用IAM用户的邮箱（比如pgsox-user@your-project.iam.gserviceaccount.com）创建的，那这个用户默认是IAM认证，不能用密码登录——但你说本地能用密码，说明你应该是创建了纯密码认证的Postgres用户，不过还是要确认下用户名是否完全一致（比如有没有大小写差异，Postgres用户名默认是小写的）。

备注：内容来源于stack exchange，提问作者jameschaucer