部署PostgreSQL后是否需从docker-compose.yml移除POSTGRES_PASSWORD？

是否需要移除POSTGRES_PASSWORD？ #

是的，首次部署完成（数据库初始化完成，数据目录已有内容）后，建议从docker-compose.yml中移除POSTGRES_PASSWORD。

原因：

• 官方警告明确说明，当数据目录非空时，这类Docker专属变量不会再生效，留着没有实际作用
• 容器运行时，通过docker exec等方式能读取到该环境变量（即使显示为星号，部分场景下仍可能暴露明文），存在安全风险，移除后容器重启时不会再加载该变量

还需要移除哪些变量？ #

所有仅用于首次数据库初始化的Docker专属环境变量都可以移除，包括：

• POSTGRES_USER：初始化阶段创建的超级用户，后续容器启动不会再修改用户配置
• POSTGRES_DB：初始化时创建的默认数据库，后续不会自动变更
• POSTGRES_INITDB_ARGS：仅在首次执行initdb初始化命令时生效的参数
• POSTGRES_INITDB_WALDIR：仅初始化阶段生效的预写日志目录配置

而像PGTZ这类运行时生效的变量无需移除，它们会影响容器运行时PostgreSQL的配置（比如时区），每次容器启动都会生效。

后续密码修改方式 #

如果之后需要修改数据库超级用户密码，不要通过环境变量，直接使用PostgreSQL原生命令修改：

# 进入容器的PostgreSQL命令行
docker exec -it pgdb psql -U postgres
# 执行SQL修改密码
ALTER USER postgres PASSWORD 'new_secure_password';

内容的提问来源于stack exchange，提问作者Eugen Konkov