如何在PostgreSQL中为数据库设置独立密码且不使用ROLE？

首先澄清一个前提：PostgreSQL原生设计中密码是绑定在角色（ROLE）层面的，不存在原生的数据库级独立密码配置，要满足你的3个需求，可以通过以下组合方案实现，实际使用效果完全匹配你的要求：

方案实现步骤 #

1. 创建专用绑定角色 #

我们创建一个仅服务于该数据库访问的只读角色，该角色的密码就是你需要的数据库专属独立密码，和其他角色密码完全隔离：

-- 替换下方参数：your_db为目标数据库名，readonly_access为自定义角色名，custom_db_pwd为你设置的数据库专属密码
CREATE ROLE readonly_access WITH LOGIN PASSWORD 'custom_db_pwd';
-- 授予角色连接目标数据库的基础权限
GRANT CONNECT ON DATABASE your_db TO readonly_access;
-- 切换到目标数据库下执行，授予所有现有表的SELECT权限
\c your_db
GRANT SELECT ON ALL TABLES IN SCHEMA public TO readonly_access;
-- 配置后续新建表自动继承SELECT权限，避免后续权限遗漏
ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO readonly_access;

2. 配置pg_hba.conf实现最高优先级访问控制 #

pg_hba.conf是PostgreSQL的主机认证核心配置文件，规则匹配优先级高于角色的超级用户属性，通过以下配置可以实现「不知道专属密码就算是超级用户也无法连接」的要求：
打开PostgreSQL数据目录下的pg_hba.conf文件，在所有规则的最顶部添加如下配置（替换your_db为你的目标数据库名）：

# 禁止所有角色（包括超级用户）访问目标数据库
host    your_db     all             0.0.0.0/0       reject
host    your_db     all             ::1/128         reject
local   your_db     all                             reject
# 仅允许指定只读角色通过密码验证访问目标数据库
host    your_db     readonly_access 0.0.0.0/0       scram-sha-256
local   your_db     readonly_access                 scram-sha-256

注意：如果你的PostgreSQL版本低于10，默认使用md5加密，把上面的scram-sha-256替换为md5即可。

配置完成后执行以下命令重载配置即可生效，无需重启数据库服务：

SELECT pg_reload_conf();

3. 效果验证 #

• 超级用户尝试连接该数据库会直接返回连接拒绝错误，即便输入正确的超级用户密码也无法访问
• 仅使用readonly_access角色+你设置的专属密码可以正常连接，连接后仅能执行SELECT操作，无法执行增删改、DDL等其他操作
• 该密码仅对当前数据库生效，完全独立于其他数据库、其他角色的密码配置

补充说明 #

• 为什么没有完全脱离ROLE实现？这是PostgreSQL内核级的设计，所有连接请求必须关联一个ROLE，本方案中该ROLE仅服务于该数据库的访问，没有任何其他数据库的权限，和数据库绑定的使用效果完全等同于「数据库独立密码」
• 规则无法被绕过：pg_hba.conf规则按从上到下的顺序匹配，只要你把上述规则放在配置最顶部，没有任何角色可以绕过访问限制，完全满足你最高优先级的要求

内容的提问来源于stack exchange，提问作者user12829430