托管PostgreSQL中如何通过内联SSL证书实现原生复制

当前psql本身不支持直接传入内联SSL证书值来创建跨实例的逻辑复制订阅，具体原因和替代方案如下：

• psql依赖libpq库实现连接，而libpq的SSL相关参数（如sslcert、sslkey）仅支持指定磁盘文件路径，没有提供直接传入证书内容的接口，这是官方明确的限制。

• 针对托管实例无法存储证书到磁盘的场景，可尝试以下替代方案：

  1. 临时文件中转（若环境允许创建临时文件）
     把内联证书内容写入临时文件，再在psql的连接参数中指定该文件路径，示例命令如下：

     # 将证书内容写入临时文件
     echo "-----BEGIN CERTIFICATE-----
     你的证书内容
     -----END CERTIFICATE-----" > /tmp/ssl_cert.pem
     echo "-----BEGIN PRIVATE KEY-----
     你的私钥内容
     -----END PRIVATE KEY-----" > /tmp/ssl_key.pem
     
     # 连接实例A并创建指向实例B的订阅
     psql "host=instanceA port=5432 dbname=your_db user=your_user" -c "
     CREATE SUBSCRIPTION sub_to_b
     CONNECTION 'host=instanceB port=5432 dbname=your_db user=your_user sslcert=/tmp/ssl_cert.pem sslkey=/tmp/ssl_key.pem'
     PUBLICATION your_publication;
     "
     
     # 清理临时文件
     rm /tmp/ssl_cert.pem /tmp/ssl_key.pem
     

  2. 使用支持内联证书的客户端替代psql
     像你提到的Golang lib/pq客户端就支持直接传入证书内容，你可以编写简单的Golang脚本，连接实例A后执行创建订阅的SQL，同时在连接实例B的参数中直接传入内联证书值。此外Python的psycopg2、Node.js的pg等客户端也可以通过自定义SSL上下文实现类似功能。

• 如果托管环境完全禁止任何磁盘写入（包括临时文件），那么psql无法满足需求，必须使用支持内联证书的客户端来完成操作。

内容的提问来源于stack exchange，提问作者Paku