PostgreSQL容器pg_hba.conf配置合理性验证咨询

你的核心结论基本正确，但有几个细节需要明确修正：

• 关于注释全局规则：注释# host all all all scram-sha-256是移除了一条宽松的全局允许规则，但并非“禁用全局远程连接”——后续针对read_bi用户的规则仍会生效，只是取消了所有用户任意地址可连的默认宽松配置。
• test、prod用户的连接限制：host all test,prod samenet scram-sha-256规则确实限制这两个用户仅能从与PostgreSQL容器同子网的地址（即同一Docker网络内的其他容器）连接，外部机器无法使用这两个用户访问，这部分理解完全正确。
• read_bi用户的远程权限：host all read_bi all scram-sha-256规则允许该用户从任意地址（包括外部远程服务器）连接任意数据库，结合你提到的该用户仅拥有特定表的SELECT权限，权限层面的控制是合理的，这部分理解正确。
• 补充注意点：配置中本地连接（Unix套接字、127.0.0.1/32、::1/128）采用trust认证，意味着容器内部或主机通过端口映射访问127.0.0.1时，所有用户无需密码即可连接，需确认这符合你的安全需求；此外，非test、prod、read_bi的其他用户确实无法远程连接，因为没有对应的允许规则。

简言之：你总结的「仅read_bi可从外部机器连接，test、prod仅能从主机内对应容器连接，其他用户无法远程连接」结论正确，只需注意上述细节补充。

内容的提问来源于stack exchange，提问作者Rodrigo Osvaldo Grijalva López