Golang应用RDS PostgreSQL凭证轮换后仍可连接问题排查

你碰到的核心问题来自两个关键点：

1. Go的sql.DB是连接池而非单个连接：Ping()调用会复用池里已有的旧连接，这些连接在凭证轮换前就已经通过了PostgreSQL的认证，只要没被回收就能正常通信，自然不会触发错误。
2. PostgreSQL不会主动断开已认证连接：凭证轮换后，数据库只会拒绝新的认证请求，不会主动踢掉已经建立好的旧连接。只有当旧连接被连接池回收（比如空闲超时、达到生命周期上限），或者重启应用清空连接池后，新创建的连接才会用新凭证，这时候才会出现认证错误。

你的PrepareDBConnection逻辑是"Ping成功就不处理"，但Ping用的是旧连接，完全检测不到凭证已经更新，所以根本不会触发重新连接流程。

1. 给连接池设置连接生命周期上限 #

强制旧连接在指定时间后被回收，确保新连接必须用最新凭证创建。修改你的GetDB函数，添加连接生命周期配置：

import "time"

func (c *Config) GetDB() (*sql.DB, error) {
    dbSecret, err := c.SSM.GetDBSecret()
    if err != nil {
        fmt.Println("Error while fetch creds: ", err)
        return nil, err
    }
    dsn, err := c.ConnectionString(dbSecret)
    if err != nil {
        return nil, err
    }
    u, err := url.Parse(*dsn)
    if err != nil {
        return nil, err
    }
    u.Scheme = scheme
    db, err := sql.Open(u.Scheme, u.String())
    if err != nil {
        return nil, err
    }
    if err := db.Ping(); err != nil {
        return nil, err
    }
    db.SetMaxOpenConns(10)
    db.SetMaxIdleConns(10)
    // 强制连接1小时后过期，时间可根据你的凭证轮换周期调整
    db.SetConnMaxLifetime(time.Hour)
    // 可选：设置空闲连接超时，加速旧连接回收
    db.SetConnMaxIdleTime(30 * time.Minute)
    return db, nil
}

2. 主动定期刷新凭证和连接池 #

不要等Ping失败才处理，主动定时触发连接池更新。比如在应用启动时启动一个定时goroutine：

import (
    "sync"
    "time"
)

type Pg struct {
    DB     *sql.DB
    config *Config
    mu     sync.Mutex // 加互斥锁保证并发安全
}

func (pg *Pg) StartCredentialRefreshTicker() {
    ticker := time.NewTicker(30 * time.Minute) // 刷新频率比生命周期短，确保衔接
    defer ticker.Stop()
    for range ticker.C {
        fmt.Println("Starting periodic credential refresh")
        if err := pg.PrepareDBConnection(); err != nil {
            fmt.Println("Failed to refresh DB connection:", err)
        }
    }
}

func (pg *Pg) PrepareDBConnection() error {
    pg.mu.Lock()
    defer pg.mu.Unlock()

    // 直接强制刷新凭证并重建连接池，不再依赖Ping检测
    fmt.Println("Refreshing DB connection with latest credentials")
    db, err := pg.config.GetDB()
    if err != nil {
        fmt.Println("unable create db connection", err)
        return err
    }
    // 关闭旧连接池，避免资源泄漏
    if pg.DB != nil {
        _ = pg.DB.Close()
    }
    pg.DB = db
    return nil
}

3. 捕获业务执行时的认证错误 #

偶尔会出现旧连接在生命周期内被数据库主动断开的情况，这时候要在业务代码里捕获认证错误，触发紧急刷新：

import "strings"

func (pg *Pg) ExecuteQuery(query string) error {
    pg.mu.Lock()
    db := pg.DB
    pg.mu.Unlock()

    _, err := db.Exec(query)
    if err != nil {
        // 匹配PostgreSQL认证错误特征
        if strings.Contains(err.Error(), "password authentication failed") || 
           strings.Contains(err.Error(), "invalid password") {
            fmt.Println("Detected auth failure, refreshing connection immediately")
            if refreshErr := pg.PrepareDBConnection(); refreshErr == nil {
                // 刷新后重试一次
                _, err = pg.DB.Exec(query)
            }
        }
        return err
    }
    return nil
}

内容的提问来源于stack exchange，提问作者Srinivas