Cloud Run及本地容器连接Cloud SQL私有IP异常断开问题

按以下优先级逐点排查，90%以上的同类型问题都能定位解决：

• 首先排除连接串配置冲突
  走Cloud SQL Proxy连接时，SQLAlchemy连接串必须关闭psycopg2自带的SSL，因为Proxy和Cloud SQL实例之间已经建立了加密隧道，psycopg2重复发起TLS握手会直接被Proxy断开连接，正好触发你看到的报错。正确的连接串格式参考：

  # 走本地Proxy TCP连接的配置
  SQLALCHEMY_DATABASE_URI = "postgresql+psycopg2://<数据库用户名>:<数据库密码>@127.0.0.1:5432/<数据库名>?sslmode=disable"
  

  如果你是直连Cloud SQL公网/内网IP，才需要配置sslmode=require并挂载实例CA证书，直连失败首先检查：公网直连需要将当前环境出口IP加入实例的「授权网络」列表，Cloud Shell出口IP是动态变化的，每次重启环境都需要重新添加；内网直连需要确认防火墙没有拦截5432端口流量。
• 修正Cloud SQL Proxy启动参数
  不要用默认的tcp:5432监听配置，该配置默认仅绑定127.0.0.1的IPv4地址，在Alpine等轻量基础镜像中，应用解析localhost时可能优先走IPv6的::1地址，Proxy未监听IPv6会导致连接被直接重置。正确启动参数参考：

  ./cloud_sql_proxy \
    -instances=<完整实例连接名，格式为项目ID:区域:实例名>=tcp:0.0.0.0:5432 \
    # 若使用Cloud Run默认服务账号/工作负载身份，不需要指定密钥文件
    -credential_file=/path/to/service-account-key.json
  

• 替换固定sleep为端口探活逻辑
  sleep 10完全无法规避时序问题：如果Proxy因为网络波动、权限校验耗时超过10秒，应用启动时依然会连到未就绪的端口触发断连。把start.sh中的固定等待替换为主动探活逻辑，参考：

  #!/bin/bash
  # 后台启动Proxy
  ./cloud_sql_proxy -instances=<INSTANCE_CONNECTION_NAME>=tcp:0.0.0.0:5432 &
  
  # 轮询检测端口，最多等待30秒
  for i in {1..30}; do
    if nc -z 127.0.0.1 5432; then
      echo "Cloud SQL Proxy 启动完成"
      break
    fi
    echo "等待Proxy启动，第${i}次重试"
    sleep 1
  done
  
  # 启动Python业务应用
  exec gunicorn -b 0.0.0.0:8080 main:app
  

• Cloud Run部署侧排查
  • 确认--add-cloudsql-instances参数后填写的是完整的实例连接名，缺失项目ID、区域任意一段都会导致连接异常
  • 确认绑定的服务账号已授予Cloud SQL Client角色，仅配置基础编辑/查看权限无法正常通过Proxy鉴权，鉴权失败时Proxy不会直接抛出权限错误，通常表现为连接建立后异常断开
  • 若使用VPC Connector走内网连接，确认Connector流量路由规则配置正确：如果设置为「仅私有IP流量走Connector」，走公网连接Cloud SQL的流量会被默认出口拦截
• 快速定位问题边界
  进入运行环境（本地容器/Cloud Run调试终端），先跳过业务代码直接用psql命令测试连接：

  psql "host=127.0.0.1 port=5432 dbname=<数据库名> user=<数据库用户名> sslmode=disable"
  

  如果psql能正常连接，说明Proxy、网络、权限配置均正常，问题出在Python侧连接串配置；如果psql连接失败，直接看Proxy的verbose日志定位根因即可，和业务代码无关。

内容的提问来源于stack exchange，提问作者Vikrant Singh Rana