GKE集群使用KnexJS无法连接PG Cloud SQL实例问题咨询

你的核心假设存在错误：GCP从未默认将Cloud SQL访问权限开放给项目内所有应用，通过VPC私有IP或Cloud SQL Auth Proxy连接Cloud SQL的要求至今仍然有效。你提到的「App Engine授权」是App Engine专属的特殊适配机制，完全不适用于GKE工作负载。

• 公网访问授权配置缺失
  你使用公共IP连接的前提下，必须在Cloud SQL实例的「连接」配置页的「授权网络」模块，将GKE集群所有节点的公网出口IP段加入白名单，未配置的情况下Cloud SQL会直接拒绝所有公网连接请求。注意GKE节点公网IP默认为动态分配，直接配置授权网络的方案稳定性极低，不建议生产环境使用。
• 连接字符串配置错误
  你当前代码中手动切割环境变量获取连接地址的逻辑存在极高风险：如果POSTGRES_URL末尾携带连接参数（比如?sslmode=require），切割后的字符串会丢失必要参数，甚至出现地址拼接错误。建议将数据库用户名、密码、地址、端口、库名拆分为独立的环境变量，避免手动字符串切割。
• SSL配置缺失
  Cloud SQL公共IP连接默认强制要求SSL加密，你当前的Knex配置中未添加SSL相关参数，会被服务端直接拒绝连接。你需要在Knex的connection配置项中补充SSL证书配置，或者使用Cloud SQL Auth Proxy规避SSL手动配置。
• 推荐标准连接方案
  GKE连接Cloud SQL的官方推荐方案是部署Cloud SQL Auth Proxy作为Sidecar容器，无需配置公网授权网络，也无需手动管理SSL证书，安全性和稳定性远高于直接连接公网IP。如果选择私有IP连接，只需要保证Cloud SQL实例和GKE集群在同一VPC内即可，网络延迟也低于公网连接。

内容的提问来源于stack exchange，提问作者methodical