pgx、pq等PostgreSQL Go驱动是否支持GSSAPI加密？

• 关于pgx（含底层pgconn组件）不支持GSSAPI加密的判断完全准确：当前pgx搭配gopgkrb5的组合仅实现了GSSAPI（Kerberos）身份认证流程，未实现PostgreSQL GSSAPI原生传输加密逻辑。该组合发起的连接走普通TCP通道，仅在认证阶段提交Kerberos票据完成身份校验，不会建立GSSAPI加密传输层。当pg_hba.conf仅配置hostgssenc类型（强制要求GSSAPI加密）的连接规则时，pgx发起的非加密连接无法匹配对应规则，会返回无匹配不安全连接条目的报错。
• 主流lib/pq驱动同样不支持GSSAPI原生加密能力。该驱动内置的GSSAPI相关逻辑仅覆盖身份认证环节，无法发起GSSAPI加密连接请求，不能匹配hostgssenc类型的pg_hba规则。

• 如果核心需求是传输加密+Kerberos认证，不强制要求使用GSSAPI自带的加密能力，可以继续使用现有pgx+gopgkrb5技术栈，在连接参数中强制开启SSL/TLS传输加密，同时在pg_hba.conf中配置hostssl类型的GSSAPI认证规则，即可同时满足传输加密和Kerberos身份认证的安全要求，该方案经过大量生产场景验证，稳定性兼容性可靠。
• 如果必须使用PostgreSQL原生GSSAPI加密（即hostgssenc连接模式），目前Go生态没有生产可用的开箱即用驱动支持，需要自行基于驱动扩展接口封装GSSAPI传输层加解密逻辑，开发和维护成本较高。

内容的提问来源于stack exchange，提问作者Egor Ovchinnikov