如何限制Windows管理员修改本地PostgreSQL认证设置？

一、类似SQL Server的用户与加密连接机制 #

PostgreSQL支持类似的权限管控与加密连接方案，可通过以下配置强化：

1. 创建受限专用用户
   不要用默认postgres超级用户运行应用，创建仅拥有目标数据库读写权限的用户，同时通过文件系统权限限制该用户访问配置文件：

   CREATE ROLE app_user WITH LOGIN PASSWORD 'your_strong_password';
   GRANT CONNECT ON DATABASE your_app_db TO app_user;
   GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO app_user;
   ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO app_user;
   

2. 强制加密连接
   修改postgresql.conf启用SSL：

   ssl = on
   ssl_cert_file = 'server.crt'
   ssl_key_file = 'server.key'
   

   同时在pg_hba.conf中仅允许加密连接：

   hostssl your_app_db app_user 127.0.0.1/32 scram-sha-256
   hostssl your_app_db app_user ::1/128 scram-sha-256
   

   应用连接时指定sslmode=require，拒绝未加密的连接请求。

二、针对Windows管理员篡改的防护方案 #

由于Windows管理员拥有系统级权限，无法完全阻止其修改配置，但可通过以下方式提高篡改成本、限制影响范围：

• 配置文件权限锁+监控
  给pg_hba.conf和postgresql.conf设置仅管理员组和PostgreSQL服务账户拥有读取权限，拒绝写入权限（管理员要修改需手动调整权限，增加操作门槛）；同时开启Windows文件审核功能，监控这两个文件的修改操作，应用可读取审核日志触发告警。
• 嵌入式PostgreSQL部署
  使用嵌入式版本的PostgreSQL（如自行打包的轻量版），将数据库文件、配置文件放在应用专属目录，通过应用自身权限控制（仅应用进程可访问该目录）减少管理员直接接触配置的可能；还可将配置文件加密存储，应用启动时解密加载到内存，不落地明文配置。
• 数据库级权限固化
  撤销所有非应用用户的超级权限，确保即使管理员修改pg_hba.conf连接到数据库，也无法执行ALTER ROLE、DROP DATABASE等敏感操作：

  REVOKE ALL PRIVILEGES ON DATABASE your_app_db FROM public;
  REVOKE ALL ON SCHEMA public FROM public;
  

• 应用层校验
  应用启动时校验pg_hba.conf的预计算哈希值，若哈希不一致则拒绝启动并提示用户；定期查询pg_hba_file_rules视图，检查认证规则是否符合预期，发现异常触发告警。

三、局限性说明 #

Windows管理员拥有系统最高权限，任何本地防护都无法做到100%阻止篡改，上述方案核心是通过增加篡改成本、缩小篡改后的影响范围来实现防护。若需更严格控制，只能依赖硬件加密（如将密钥存储在加密硬件中），但这会增加部署复杂度。

内容的提问来源于stack exchange，提问作者Private Zh