使用node-postgres连接Azure Postgres时遇自签名证书链错误求助

问题分析 #

你通过psql添加sslmode=require能成功连接，但node-postgres设置rejectUnauthorized: false仍报错，核心原因可能是连接字符串未明确指定SSL模式，或URL格式的配置与ssl对象参数存在冲突。

解决方案 #

方案1：在连接字符串中追加sslmode=require参数 #

修改getDBUrl函数，在URL末尾添加SSL模式参数，和psql的成功配置保持一致：

const getDBUrl = () => {
  return `postgres://${DB_USERNAME}:${encodeURIComponent(DB_PASSWORD)}@${DB_HOSTNAME}:${DB_PORT}/${DB_NAME}?sslmode=require`;
};

const newPgPool = new Pool({
  connectionString: getDBUrl(),
  ssl: {
    rejectUnauthorized: false,
  }
});

此方案保留密码转义逻辑，同时明确启用SSL模式，和psql的连接逻辑对齐。

方案2：拆分独立配置参数（更可靠） #

避免使用URL格式的连接字符串，直接传入独立配置项，无需对密码做encodeURIComponent转义，同时明确SSL参数：

const newPgPool = new Pool({
  user: DB_USERNAME,
  password: DB_PASSWORD,
  host: DB_HOSTNAME,
  port: DB_PORT,
  database: DB_NAME,
  ssl: {
    sslmode: 'require',
    rejectUnauthorized: false
  }
});

这种方式绕过了URL解析可能带来的参数冲突，配置逻辑更直观清晰。

方案3：指定Azure Postgres根证书（安全优化） #

如果对安全性要求较高，不希望关闭证书验证，可以下载Azure Postgres官方根证书（DigiCertGlobalRootCA），在ssl配置中指定证书路径：

const fs = require('fs');

const newPgPool = new Pool({
  connectionString: getDBUrl(),
  ssl: {
    rejectUnauthorized: true,
    ca: fs.readFileSync('/path/to/DigiCertGlobalRootCA.crt.pem').toString()
  }
});

内容的提问来源于stack exchange，提问作者Yash