Peer认证与psql的-U选项协同工作机制解析

你的理解方向是对的，下面拆解具体逻辑：

Peer认证的核心校验规则 #

Peer认证完全基于客户端的操作系统用户名做身份验证，和-U选项的交互逻辑如下：

• 当你不指定-U时，psql默认会用当前操作系统用户名（比如john）作为目标数据库角色名发起连接。此时Peer认证会先检查该角色是否存在，因为john角色不存在，所以报错role "john" does not exist。
• 当你指定-U postgres时，你明确要求以postgres角色登录，但Peer认证的校验逻辑变成：验证你的操作系统用户名（john）是否与目标数据库角色名（postgres）一致（或者是否在pg_ident.conf中配置了合法的用户名映射）。由于两者名字不匹配且无映射，所以触发Peer authentication failed for user "postgres"的错误。

关于你的猜想 #

你提到的“限制部分操作系统用户访问”是Peer认证的固有逻辑：它只允许**操作系统用户名与目标数据库角色名完全匹配（或通过映射对应）**的用户完成认证，这是认证阶段的校验，和数据库权限无关——还没到权限检查的环节。

举个实际例子，如果你的操作系统用户是postgres，无论是否加-U postgres，Peer认证都会通过：

postgres@john:~$ psql -d postgres
# 直接成功登录
postgres@john:~$ psql -d postgres -U postgres
# 同样成功登录

如果需要让john用户能以postgres角色登录，你需要修改pg_ident.conf添加映射规则，再调整pg_hba.conf的Peer认证配置引用该映射，才能绕过“用户名必须一致”的限制。

内容的提问来源于stack exchange，提问作者Ilya Loskutov