使用r2dbc-postgresql连接CockroachDB遇认证失败，如何触发SSL连接？

一、显式强制SSL连接的配置方式 #

不管使用哪个版本的r2dbc-postgresql，都能通过连接URL参数或Spring配置直接开启SSL，无需依赖自动回退机制：

• 连接URL配置：在R2DBC URL中添加ssl=true参数，同时指定CockroachDB要求的SSL模式（常用sslmode=require或verify-full），示例：

  r2dbc:postgresql://<cockroachdb-host>:<port>/<db-name>?ssl=true&sslmode=require&user=<username>&password=<password>
  

• Spring Boot配置文件（application.yml）：如果用Spring Boot，可以拆分配置项更清晰：

  spring:
    r2dbc:
      url: r2dbc:postgresql://<cockroachdb-host>:<port>/<db-name>
      username: <username>
      password: <password>
      properties:
        ssl: true
        sslmode: require
  

  注意：io.r2dbc.postgresql和org.postgresql.r2dbc的SSL参数名完全一致，均可使用上述配置。

二、关于R2DBC的用户名密码认证强制问题 #

R2DBC本身不强制要求用户名密码认证，但CockroachDB集群默认开启了认证机制（尤其是生产环境），因此必须提供合法的用户名和密码。如果你的集群配置了无密码的SSL客户端证书认证，可以调整连接参数：

• 关闭密码认证要求，指定SSL证书路径：

  r2dbc:postgresql://<cockroachdb-host>:<port>/<db-name>?ssl=true&sslmode=verify-full&sslrootcert=<path-to-ca-cert>&sslcert=<path-to-client-cert>&sslkey=<path-to-client-key>&user=<username>&password=
  

  这里密码留空，CockroachDB会优先使用SSL证书完成认证。

三、调试SingleHostConnectionFunction未执行的问题 #

你提到默认走了ReactorNettyClient.connect，但SingleHostConnectionFunction的connect方法未触发，通常是URL解析或连接工厂初始化异常导致：

• 检查R2DBC URL格式：必须以r2dbc:postgresql://开头，而非JDBC的jdbc:postgresql://，Spring Data R2DBC会根据前缀匹配对应的连接工厂。
• 清理依赖冲突：如果同时引入了io.r2dbc.postgresql和org.postgresql.r2dbc，可能导致连接工厂加载混乱，建议只保留其中一个版本（推荐使用io.r2dbc.postgresql的最新稳定版）。
• 手动指定连接工厂Bean：若自动配置失效，可手动创建PostgresqlConnectionFactory，强制使用SingleHostConnectionConfiguration逻辑：

  @Bean
  fun connectionFactory(): PostgresqlConnectionFactory {
      val config = SingleHostConnectionConfiguration.builder()
          .host("<cockroachdb-host>")
          .port(<port>)
          .database("<db-name>")
          .username("<username>")
          .password("<password>")
          .ssl(true)
          .sslMode(PostgresqlSslMode.REQUIRE)
          .build()
      return PostgresqlConnectionFactory(config)
  }
  

  这种方式会强制走SingleHostConnectionFunction的连接流程，方便调试定位问题。

四、额外注意事项 #

• 版本兼容性：确保r2dbc-postgresql版本与CockroachDB版本兼容，可参考CockroachDB官方文档的适配表。
• SSL日志调试：添加JVM参数-Djavax.net.debug=ssl，可以查看SSL握手的详细日志，精准定位认证失败原因（比如证书不匹配、信任库配置错误）。

内容的提问来源于stack exchange，提问作者Dongjun Lim