Postgres/Psycopg密码认证失败（账号密码正确）排查求助

核心问题 #

连接远程Postgres 13时遇到：

psycopg.OperationalError: connection failed: FATAL: password authentication failed for user "someuser"

已知pgAdmin、psql可正常连接，相同Python代码能连另一台同配置服务器，且已尝试放宽pg_hba.conf、切换Psycopg版本、调整SSL设置等操作，Postgres日志无Psycopg连接请求记录。

1. 检查连接参数的隐性错误 #

• 密码特殊字符/格式问题：若密码包含@、\、%等特殊字符，Python字符串可能未正确转义，或复制时混入不可见空格。可在代码中打印密码变量确认，或临时改用无特殊字符的测试密码。
• 环境变量干扰：系统环境变量如PGPASSWORD、PGUSER、PGDATABASE会覆盖代码中的参数。可在代码开头添加以下验证：

  import os
  print("环境变量PGUSER:", os.environ.get("PGUSER"))
  print("环境变量PGPASSWORD:", os.environ.get("PGPASSWORD"))
  

• 参数拼写错误：确认Psycopg3的连接参数名正确（如password而非pass，dbname而非database）。

2. 验证Postgres用户及连接规则 #

• 用户属性检查：在psql中执行以下查询，确认用户无连接限制、未过期：

  SELECT usename, connlimit, valid_until FROM pg_user WHERE usename = 'someuser';
  SELECT rolconnlimit, rolvaliduntil FROM pg_roles WHERE rolname = 'someuser';
  

• pg_hba.conf规则顺序：即使删除了reject规则，若hostssl规则排在host规则之前，且服务器SSL启用时，Psycopg默认的prefer模式会优先匹配hostssl规则。可将host all all 0.0.0.0/0 trust移到配置文件最顶部，重启Postgres后测试。

3. 深入排查SSL配置冲突 #

• 强制禁用SSL：Psycopg3默认sslmode='prefer'，即使服务器设置ssl=off，仍可能尝试SSL协商。在连接时显式设置：

  psycopg.connect(..., sslmode='disable')
  

• 证书验证问题：若需使用SSL，服务器若为自签名证书，需指定根证书路径：

  psycopg.connect(..., sslmode='verify-ca', sslrootcert='/path/to/postgres/root.crt')
  

  或临时使用sslmode='require'跳过证书验证（仅测试用，生产不建议）。

4. 检查Python环境及依赖 #

• 虚拟环境冲突：确认当前Python环境未同时安装psycopg2和psycopg3，避免依赖混淆。可执行pip list | grep psycopg查看已安装包。
• 依赖版本问题：尝试降级/升级Psycopg版本，比如使用psycopg3的稳定版，而非预发布版本。

5. 抓包分析连接过程 #

由于Postgres日志未记录Psycopg的连接请求，可通过tcpdump抓包确认客户端发送的内容：
在服务器上执行：

tcpdump -i any port 5432 -A

然后运行Python连接代码，查看抓包结果中是否包含正确的用户名、密码，以及SSL协商阶段是否异常。

内容的提问来源于stack exchange，提问作者svenema