Laravel通过SSL连接PostgreSQL的正确方式及.env配置验证

一、你的 .env 配置验证 #

你当前的 .env 配置整体方向没问题，但有几个细节需要确认：

• DB_SSLMODE=require：这个设置是合理的，PostgreSQL 的 sslmode 有多个可选值：require 强制使用 SSL 连接，但不验证服务器证书；如果要更高安全性，建议用 verify-ca（验证服务器证书是否由可信 CA 签发）或 verify-full（同时验证证书域名与服务器匹配）。
• 证书路径权限：DB_SSLCERT、DB_SSLKEY、DB_SSLROOTCERT 指向的文件，必须确保运行 Laravel 的进程（比如 www-data 或 PHP-FPM 用户）有读取权限，否则会因权限不足加载失败，导致连接中断。
  • 额外说明：DB_SSLCERT 和 DB_SSLKEY 是客户端证书和密钥，只有当你的 PostgreSQL 服务器要求双向 SSL 验证（即服务器需要验证客户端身份）时才需要配置；如果只是单向 SSL（仅客户端验证服务器），这两个参数可以省略，只保留 DB_SSLROOTCERT 和合适的 sslmode 即可。

二、Laravel 连接 PostgreSQL SSL 的正确/最优方式 #

1. 基础配置（推荐，适配绝大多数场景） #

通过 .env 配置是 Laravel 官方推荐的方式，核心参数配置如下：

DB_CONNECTION=pgsql
DB_HOST=你的数据库IP或域名
DB_PORT=你的数据库端口
DB_DATABASE=目标数据库名
DB_USERNAME=数据库用户名
DB_PASSWORD=数据库密码
# 根据安全需求选择sslmode，优先选verify-ca/verify-full
DB_SSLMODE=verify-ca
# 验证服务器证书时，指定根CA证书路径
DB_SSLROOTCERT=/path/to/root.crt
# 仅当服务器要求客户端证书验证时添加以下两行
# DB_SSLCERT=/path/to/client.crt
# DB_SSLKEY=/path/to/client.key

2. 自定义连接配置（进阶场景） #

如果需要更灵活的控制，可以在 config/database.php 的 pgsql 连接数组中显式配置 SSL 选项，确保 .env 的参数被正确映射：

'pgsql' => [
    'driver' => 'pgsql',
    'host' => env('DB_HOST', '127.0.0.1'),
    'port' => env('DB_PORT', '5432'),
    'database' => env('DB_DATABASE', 'forge'),
    'username' => env('DB_USERNAME', 'forge'),
    'password' => env('DB_PASSWORD', ''),
    'charset' => 'utf8',
    'prefix' => '',
    'prefix_indexes' => true,
    'search_path' => 'public',
    'sslmode' => env('DB_SSLMODE', 'prefer'),
    'sslrootcert' => env('DB_SSLROOTCERT'),
    'sslcert' => env('DB_SSLCERT'),
    'sslkey' => env('DB_SSLKEY'),
],

3. 最优实践 #

• 安全优先：尽量使用 verify-ca 或 verify-full 替代 require，避免中间人攻击风险。
• 证书权限控制：证书文件权限设为 600，所在目录权限设为 700，仅允许运行 Laravel 的用户读取，禁止其他用户访问。
• 证书存放位置：不要把证书放在 Web 根目录下，防止被公开获取。
• 连接测试：通过 php artisan tinker 进入交互模式，执行 DB::connection()->getPdo();，如果没有抛出异常，说明 SSL 连接成功。

三、官方文档参考位置 #

Laravel 官方文档中关于 PostgreSQL SSL 配置的说明，在数据库配置章节的 PostgreSQL 连接配置部分，里面明确列出了 sslmode、sslrootcert 等相关参数的用法。

内容的提问来源于stack exchange，提问作者Pablo Vazquez Alvarado