如何在Vapor 4应用中安装SSL证书连接Digital Ocean托管PostgreSQL

• 把Digital Ocean提供的ca-certificate.crt文件放到Vapor项目的Resources目录下，确保项目打包部署时该文件会被一同打包到运行环境中。
• 若使用Docker部署Vapor项目，需要在Dockerfile中添加对应指令将证书文件拷贝到容器的可访问路径，示例指令：COPY Resources/ca-certificate.crt /app/Resources/ca-certificate.crt
• 生产环境也可以将证书放到服务器的/etc/ssl/certs系统证书目录下，权限设置为644即可。

安全提示：不要将证书文件提交到公共代码仓库，生产环境建议使用云服务商的密钥管理服务存储证书内容，运行时直接读取内存加载，避免证书泄露。

首先导入必要依赖，加载证书生成自定义TLS配置，替换你现有的数据库连接代码即可：

import NIOSSL
import FluentPostgresDriver

// 先定位CA证书路径
let certPath = DirectoryConfiguration.detect().resourcesDirectory + "ca-certificate.crt"
do {
    // 读取证书内容
    let certBytes = try Data(contentsOf: URL(fileURLWithPath: certPath))
    let certificate = try NIOSSLCertificate(bytes: [UInt8](certBytes), format: .pem)
    
    // 生成自定义TLS配置，信任DO提供的CA证书
    var tlsConfig = TLSConfiguration.makeClientConfiguration()
    tlsConfig.trustRoots = .certificates([certificate])
    
    // 数据库注册代码
    app.databases.use(.postgres(
        hostname: "你的DO数据库主机地址",
        port: 25060,
        username: "example",
        password: "example",
        database: "exampledb",
        tlsConfiguration: tlsConfig
    ), as: .psql)
} catch {
    app.logger.error("加载CA证书失败: \(error)")
    // 开发环境可以直接触发fatalError排查问题，生产环境可根据业务逻辑处理异常
    fatalError("证书加载失败")
}

如果你的DO数据库配置了强制SSL，不需要额外添加禁用TLS的参数，以上配置即可满足连接要求。

• 启动项目后如果没有抛出数据库连接错误，代表基础配置正常。
• 可以在数据库连接成功后执行以下SQL查询验证SSL状态：

  // 示例查询代码，可写在测试路由或者启动回调中
  app.get("test-ssl") { req in
      try await req.db.raw("SELECT ssl FROM pg_stat_ssl WHERE pid = pg_backend_pid()")
          .first(decoding: SSLStatus.self)?.ssl ?? false
  }
  
  struct SSLStatus: Content {
      let ssl: Bool
  }
  

  访问对应接口返回true即代表SSL连接正常生效。
• 也可以直接在Digital Ocean的PostgreSQL托管面板的连接日志中，查看当前连接的SSL状态为启用即可。

内容的提问来源于stack exchange，提问作者user4150758