VPN环境下Elixir应用连接Postgres数据库执行mix ecto.create报权限不足错误

1. 核查Postgres侧账号的基础权限 #

• 确认Ecto配置中填写的数据库账号，是否具备创建数据库的核心权限：使用相同账号通过psql连接到Postgres默认维护库postgres，执行\du查看账号属性，若没有CREATEDB权限标识，说明账号本身权限不足，需要由库管理员执行ALTER ROLE <你的数据库账号> CREATEDB;为账号开放对应权限。
• 排除组角色的权限覆盖问题：如果账号本身被授予了CREATEDB权限，但所属的组角色配置了禁止创建数据库的约束规则，继承的组权限会降级原有权限，需核对账号关联的所有角色的权限边界。
• 注意云托管Postgres的权限差异：如果VPN内的Postgres是托管类服务（如云RDS），初始提供的账号通常不是超级用户，默认可能被限制创建数据库的能力，需要在服务控制台调整账号的权限策略。

2. 校验Ecto实际加载的连接配置 #

• 排查环境变量覆盖配置的问题：执行mix命令的终端环境如果存在DATABASE_URL环境变量，会优先覆盖config/dev.exs/config/runtime.exs里的Repo配置，很可能不小心误用了低权限的连接串。可通过iex -S mix进入应用交互环境，读取TestDatabase.Repo.config()查看实际加载的连接账号、目标库信息，确认和预期配置一致。
• 核对维护库的连接权限：mix ecto.create的执行逻辑是先连接到Postgres的全局维护库postgres，再执行CREATE DATABASE语句创建目标业务库。如果pg_hba.conf中，针对你的账号、你的开发机VPN出口IP，仅允许连接已存在的业务库、不允许连接postgres维护库，会直接触发权限拒绝报错，需要让DBA放开对应访问规则。

3. 排查VPN环境下的特殊权限约束 #

• 确认VPN接入段的权限策略：多数企业内网/VPN环境下，DBA会对开发来源IP段做连接权限隔离：仅允许开发人员的VPN IP段连接指定的现有业务库，不允许连接全局维护库，也不开放任意创建数据库的权限，这是该报错最常见的触发场景。需要和DBA确认开发接入段的连接规则是否满足ecto.create的执行要求。
• 排除路由错配导致的身份异常：确认走VPN访问Postgres时，源IP没有被Postgres侧的规则匹配到低权限的访客账号规则，避免出现配置里写的是高权限账号，实际连接时被pg_hba规则匹配为匿名访客身份的情况。

4. 交叉验证定位问题边界 #

• 手动执行权限验证：使用和Ecto完全一致的连接参数，通过psql连上Postgres维护库，手动执行CREATE DATABASE <你要初始化的库名>;：如果手动操作同样报42501，说明问题完全出在Postgres权限层，和Elixir/Ecto框架无关；如果手动执行能成功创建库，再回头核对Ecto配置的加载逻辑即可。
• 流程绕障验证：如果确认没有创建库的权限，可先让库管理员手动创建好目标空库，再执行mix ecto.migrate验证业务表的初始化流程是否正常，确认后续业务CRUD操作的权限是否符合预期。

内容的提问来源于stack exchange，提问作者Leonardo Gottardi