Spring应用通过SSL连接GCP PostgreSQL实例配置问题求助

一、证书格式检查与转换 #

GCP生成的client-key.pem默认是PKCS1格式，PostgreSQL JDBC驱动仅支持PKCS8格式，需执行转换：

openssl pkcs8 -topk8 -inform PEM -in src/main/resources/ssl/client-key.pem -out src/main/resources/ssl/client-key-pk8.pem -nocrypt

二、正确的application.properties配置 #

根据证书位置和运行场景，使用PostgreSQL JDBC驱动的SSL参数配置：

本地开发配置 #

直接通过classpath路径加载证书（需确保JDBC驱动支持该路径格式）：

spring.datasource.url=jdbc:postgresql://<GCP_POSTGRES_IP>:5432/<DB_NAME>?ssl=true&sslmode=verify-ca&sslrootcert=classpath:ssl/server-ca.pem&sslcert=classpath:ssl/client-cert.pem&sslkey=classpath:ssl/client-key-pk8.pem
spring.datasource.username=<DB_USER>
spring.datasource.password=<DB_PASSWORD>
spring.datasource.driver-class-name=org.postgresql.Driver

打包后运行配置 #

若JDBC驱动无法读取jar内的classpath资源，可通过HikariCP的数据源属性配置：

spring.datasource.url=jdbc:postgresql://<GCP_POSTGRES_IP>:5432/<DB_NAME>?ssl=true&sslmode=verify-ca
spring.datasource.username=<DB_USER>
spring.datasource.password=<DB_PASSWORD>
spring.datasource.driver-class-name=org.postgresql.Driver
# 配置HikariCP加载SSL证书
spring.datasource.hikari.data-source-properties.sslrootcert=classpath:ssl/server-ca.pem
spring.datasource.hikari.data-source-properties.sslcert=classpath:ssl/client-cert.pem
spring.datasource.hikari.data-source-properties.sslkey=classpath:ssl/client-key-pk8.pem

三、GCP PostgreSQL实例配置确认 #

• 开启强制SSL：进入GCP Cloud Console → 云SQL → 目标PostgreSQL实例 → 连接 → SSL，确认「要求SSL连接」已启用。
• 验证用户SSL权限：执行SQL检查目标用户是否允许SSL连接：

SELECT rolname, rolssl FROM pg_roles;

确保目标用户的rolssl值为t。

四、证书放置位置规范 #

• 本地开发：证书放在src/main/resources/ssl目录，Maven打包时会自动将其打包到jar的BOOT-INF/classes/ssl路径下。
• 生产环境：若用容器部署，将证书挂载到容器内固定路径（如/opt/certs/），配置时使用该绝对路径。

五、排查技巧 #

1. 开启JDBC debug日志查看详细错误：

logging.level.org.postgresql=DEBUG

2. 检查证书权限：本地开发确保证书文件有可读权限，容器部署时确认挂载路径权限正确。

内容的提问来源于stack exchange，提问作者Anton Wijaya