Docker容器Linux环境Flask应用无法连接MSSQL数据库问题咨询

• Trusted_Connection=yes 是Windows平台专属的SSPI集成身份认证，依赖Windows本地登录用户的域凭据完成校验，Linux容器环境没有Windows安全子系统支撑，该参数完全无法生效。
• 移除该参数后，连接串未显式指定登录所用的用户名、密码字段，ODBC驱动默认传递空用户名发起认证，因此触发Login failed for user ''的18456报错。
• 你提供的Dockerfile中ODBC Driver 17的安装流程是正确的，不需要调整驱动相关配置。仅存在两处非功能性小问题：EXPOSE 80 80重复声明端口，pip安装依赖时可添加--no-cache-dir参数减小镜像体积，不影响数据库连接，可按需修改。

容器场景下优先使用SQL Server身份认证，配置简单、稳定性高，具体步骤如下：

• 先在MSSQL/Azure SQL服务端开启SQL Server身份认证模式，创建专用的数据库登录账号，给账号分配目标数据库的对应读写权限。如果使用Azure SQL，注意提前配置防火墙规则放通容器出口IP。
• 调整Flask应用的数据库连接逻辑，不要硬编码敏感凭据，通过环境变量注入连接参数，同时补充Azure SQL必需的加密配置：

from urllib.parse import quote_plus
import os

# 从环境变量读取连接参数，避免凭据硬编码泄露
conn_params = {
    "driver": os.getenv("DB_DRIVER", "ODBC Driver 17 for SQL Server"),
    "server": os.getenv("DB_SERVER", "tcp:****.database.windows.net,1433"),
    "database": os.getenv("DB_NAME", "****"),
    "uid": os.getenv("DB_USER"),
    "pwd": os.getenv("DB_PWD")
}

raw_conn_str = (
    f"Driver={{{conn_params['driver']}}};"
    f"Server={conn_params['server']};"
    f"Database={conn_params['database']};"
    f"UID={conn_params['uid']};"
    f"PWD={conn_params['pwd']};"
    "Encrypt=yes;"
    "TrustServerCertificate=no;"
    "Connection Timeout=30;"
)

SQLALCHEMY_DATABASE_URI = f"mssql+pyodbc:///?odbc_connect={quote_plus(raw_conn_str)}"

• 启动容器时通过环境变量传入敏感的账号密码信息，不要把凭据写在Dockerfile或者代码里：
  直接docker启动的命令示例：

docker run -d -p 80:80 \
  -e DB_USER="你的数据库登录账号" \
  -e DB_PWD="对应账号的密码" \
  你的自定义镜像名

如果使用docker-compose编排，配置示例：

services:
  flask-service:
    build: .
    ports:
      - "80:80"
    environment:
      - DB_USER=你的数据库登录账号
      - DB_PWD=对应账号的密码
    # 其余自定义配置按需添加

配置完成后先跳过应用层，直接在容器内用命令行测试驱动和账号连通性，排除非代码问题：

• 进入运行中的容器，执行sqlcmd测试连接：

/opt/mssql-tools/bin/sqlcmd -S tcp:****.database.windows.net,1433 -d 目标库名 -U 登录账号 -P 账号密码 -Q "SELECT @@VERSION"

• 如果命令正常返回SQL Server版本信息，说明网络、驱动、账号权限均正常，启动Flask应用即可正常连接。
• 如果仍然返回18456错误，可查看MSSQL服务端错误日志对应的状态码排查：状态1代表账号不存在，状态2代表密码错误，状态5代表账号没有目标库的访问权限，对应修正即可。

如果业务强制要求使用Windows域账号做集成认证，需要在容器内部安装配置Kerberos客户端，编写krb5.conf域配置、挂载域账号keytab文件，连接串将Trusted_Connection=yes替换为Integrated Security=Kerberos。该方案配置复杂度高，容器重启、域策略变更都可能导致认证失效，非特殊需求不要使用。

内容的提问来源于stack exchange，提问作者EzPz