Postgres是否有类似Oracle Password Rollover的双密码功能？

Postgres没有原生支持类似Oracle Password Rollover的双有效密码功能——同一用户在任意时刻只能有一个有效密码，更新密码后旧密码立即失效。针对你的AWS Lambda场景（冷启动缓存数据源、无法修改应用添加失败刷新逻辑），可以采用以下替代方案：

方案1：使用AWS IAM身份认证替代静态密码 #

这是最贴合你场景的最优解，完全绕开静态密码轮换的问题：

• 在Postgres中创建与IAM角色绑定的数据库用户，语法示例：

  CREATE ROLE lambda_app_user WITH LOGIN;
  GRANT rds_iam TO lambda_app_user;
  

• 为Lambda执行角色添加rds-db:connect权限，允许其生成临时数据库访问凭据
• Lambda无需缓存静态密码，每次连接时通过AWS SDK生成临时token作为密码，该token会自动轮换且有效期短，无需手动管理密码

这种方式无需修改应用核心连接逻辑，仅需将密码替换为IAM生成的临时token，彻底避免了密码缓存带来的轮换痛点。

方案2：延长密码过渡窗口+Lambda强制冷启动 #

如果必须使用静态密码，可以通过以下步骤实现无感知轮换：

• 轮换新密码后，保留旧密码有效一段时间（比如1-2小时，根据Lambda实例的平均生命周期调整）
• 更新Lambda的环境变量（存储新密码），触发新的冷启动实例使用新密码
• 等待所有旧Lambda实例完成任务并被AWS回收后，再删除旧密码

此方案依赖Lambda实例的自动回收机制，需要确保过渡窗口足够覆盖旧实例的存活时间。

方案3：角色代理模式 #

创建一个无登录权限的应用专用数据库角色，再创建两个拥有该角色权限的登录用户：

• 初始状态：应用使用用户A的密码连接，用户B备用
• 轮换时：先更新用户B的新密码，修改Lambda配置切换到用户B的密码
• 等待所有旧实例切换完成后，再更新用户A的密码作为下一次轮换的备用

不过此方案需要应用支持切换用户/密码配置，若无法修改应用则适用性有限。

内容的提问来源于stack exchange，提问作者JMcFancyPants