PostgreSQL能否同时使用md5/scram-sha-256与clientcert=verify-full认证？

可以同时使用md5/scram-sha-256密码认证和clientcert=verify-full客户端证书验证，核心是正确配置pg_hba.conf和相关SSL参数。

正确配置方式 #

1. pg_hba.conf 规则设置
   针对SSL连接（hostssl类型），将认证方法指定为密码认证类型，同时附加clientcert=verify-full参数。示例配置：

   hostssl  all  all  0.0.0.0/0  scram-sha-256  clientcert=verify-full
   

   该规则的执行逻辑是：服务器先验证客户端提供的证书是否有效且受信任（由clientcert=verify-full强制），证书验证通过后，再要求客户端输入密码进行scram-sha-256认证。

2. postgresql.conf 配套SSL配置
   确保服务器开启SSL并指定信任的根证书，否则客户端证书验证无法生效：

   ssl = on
   ssl_ca_file = '/var/lib/postgresql/14/rootCA.crt'  # 替换为你的根证书路径
   ssl_cert_file = '/var/lib/postgresql/14/server.crt'
   ssl_key_file = '/var/lib/postgresql/14/server.key'
   

你遇到的问题原因 #

• 使用cert clientcert=verify-full时：cert本身是仅证书认证的方法，服务器只会验证客户端证书，完全忽略密码，这是该认证方法的设计逻辑。
• 使用md5 clientcert=verify-full时看似证书被忽略：大概率是服务器SSL配置不全（比如未设置ssl_ca_file），导致服务器无法验证客户端证书，跳过了证书校验步骤，只执行了密码认证。

官方依据 #

PostgreSQL官方文档明确说明：clientcert参数可与任何基于密码的认证方法结合使用，用于在密码认证前强制进行客户端证书验证。当设置clientcert=verify-full时，服务器要求客户端提供由受信任CA签发的有效证书，只有证书验证通过后，才会继续执行后续的密码认证流程。

内容的提问来源于stack exchange，提问作者Mahmoud Mousa Hamad