TablePlus等Postgres客户端.pgpass配合RDS令牌连接失败问题

核心原因1：.pgpass文件特殊字符未转义 #

.pgpass采用hostname:port:database:username:password的固定格式，字段之间以冒号作为分隔符。而AWS RDS生成的身份令牌默认包含:、=、&等特殊字符，若未对令牌中的冒号做转义处理，客户端解析pgpass时会把令牌内的冒号识别为字段分隔符，最终读取到的密码内容不完整，触发认证失败。

解决方法：将RDS令牌中所有的冒号字符用反斜杠转义，即把所有:替换为\:后再写入.pgpass的密码字段。

核心原因2：客户端驱动解析逻辑不兼容 #

pgAdmin、DBVisualizer以及部分版本的TablePlus默认使用JDBC PostgreSQL驱动，而非PostgreSQL官方原生的libpq库。这类JDBC驱动对pgpass文件的解析逻辑和libpq存在差异，多数版本不支持识别pgpass中的转义字符，即便完成了冒号转义，也会出现解析错误，无法读取到正确的令牌内容。

解决方法：

• 优先选择支持原生libpq的客户端工具，或直接在客户端的连接配置界面手动填入RDS令牌，不走pgpass文件读取路径
• 若必须使用JDBC驱动的客户端，直接将生成的令牌填写在连接配置的密码输入框中，不要通过pgpass传递密码

核心原因3：令牌本身有效性问题 #

• RDS身份令牌默认有效期仅为15分钟，生成后需要立刻使用，存入pgpass的令牌大概率会因为过期触发认证失败
• 生成令牌时使用的用户名、数据库地址、端口必须和实际连接时的参数完全一致，任意参数不匹配都会导致令牌验证不通过

核心原因4：.pgpass文件权限不符合要求 #

类Unix系统下.pgpass文件的权限必须设置为0600，即仅当前用户拥有可读可写权限，其他用户无任何权限。如果权限不符合要求，客户端会直接忽略该文件，不会读取里面的密码内容。

内容的提问来源于stack exchange，提问作者Shivam Singh