Django应用通过SQLAlchemy连接PostgreSQL遇SSL及权限相关连接报错

第一类报错：connect() got an unexpected keyword argument 'ssl' #

• 触发原因：pg8000驱动的原生连接方法没有名为ssl的入参，把ssl=True拼在数据库连接URL的查询参数中时，SQLAlchemy会自动把所有URL查询参数透传给pg8000的connect()方法，直接触发参数不匹配的TypeError。
• 常见误区：psycopg2驱动支持在URL查询串中通过sslmode=require开启SSL连接，但pg8000的传参逻辑完全不同，不能直接照搬其他PostgreSQL驱动的配置写法。

第二类报错：no pg_hba.conf entry for host ... SSL off #

• 报错中出现的51.2.345.678为运行Django应用的主机，访问目标PostgreSQL时的真实公网出口IP。本地SQL客户端能正常连接，是因为本地设备的出口IP已经被目标数据库的访问控制规则放行；但Django运行环境（云服务器、容器、带全局代理的开发机）的出口IP独立，不在数据库允许列表内，自然触发认证拒绝。
• 报错提示SSL off的原因：移除URL中的ssl参数后，pg8000默认发起明文非SSL连接，而目标PostgreSQL的访问规则仅允许对应IP段通过SSL加密方式连接，明文连接请求会被直接拦截。

可直接落地的正确配置方案 #

1. 不要将SSL相关参数拼在连接URL的查询串中，避免触发pg8000的参数解析错误
2. 通过SQLAlchemy的connect_args字段传递pg8000要求的正确SSL配置，示例参考：

   import ssl
   from sqlalchemy import create_engine
   
   # 替换为实际的数据库连接信息
   engine = create_engine(
       "postgresql+pg8000://username:password@46.195.0.100:5432/dbname",
       connect_args={
           "ssl_context": ssl.create_default_context()
       }
   )
   

3. 配套网络排查步骤：
   • 在运行Django的主机上测试5432端口连通性，确认到目标数据库的网络链路无阻断
   • 将报错中出现的公网出口IP（51.2.345.678）提交给数据库管理员，加入pg_hba.conf的允许访问列表，配置对应规则为允许SSL连接
   • 如果开发环境启用了全局代理/VPN，需要将目标数据库IP加入代理排除列表，避免数据库连接流量被代理转发，导致出口IP与本地测试时的IP不一致

内容的提问来源于stack exchange，提问作者simplycoding