使用Flyway连接PostgreSQL时GSS认证失败问题求助

先梳理清楚核心矛盾：你的PostgreSQL数据库内是小写域名格式的用户（比如username@domain.com），但Kerberos认证依赖的是大写Realm的主体（username@DOMAIN.COM）。psql可以分开指定这两个身份，但Flyway默认沿用JDBC驱动的行为，会把认证主体直接当作数据库用户传递，最终导致身份匹配失败触发GSS Authentication failed错误。

问题根源 #

PostgreSQL的JDBC驱动（pgjdbc）在GSS认证模式下，默认会将Kerberos认证成功的主体名称直接作为数据库用户名传递给PostgreSQL。而你的场景中，数据库用户是小写域名，和Kerberos主体的大写Realm格式不匹配，自然就触发了认证失败。反观psql，它允许通过-U参数单独指定数据库用户，认证主体则由Kerberos凭据自动处理，这就是两者的关键差异点。

具体解决方案 #

1. 在JDBC URL中显式指定数据库用户 #

修改你的Flyway JDBC连接URL，添加user参数明确指定小写域名的数据库用户，同时保留原有Kerberos相关配置：

jdbc:postgresql://host/database?kerberosServerName=postgres&jaasApplicationName=pgjdbc&user=username@domain.com

这里的user参数是告诉PostgreSQL要使用的数据库身份，而Kerberos认证的主体依然由你的JAAS配置和本地Ticket Cache中的凭据决定（也就是username@DOMAIN.COM），完全复刻了psql -U username@domain.com的效果。

2. 保留现有JAAS配置不变 #

你当前的JAAS配置是有效的，不需要调整，它会正确读取Ticket Cache中的Kerberos凭据完成认证：

pgjdbc {
    com.sun.security.auth.module.Krb5LoginModule required
    doNotPrompt=true
    useTicketCache=true
    debug=true
    client=true;
};

3. 避免Flyway配置重复设置用户 #

如果你的Flyway配置文件（比如flyway.conf、application.properties这类）里有flyway.user的配置，请删掉它。因为我们已经在JDBC URL里指定了数据库用户，重复设置会导致冲突，覆盖掉URL里的配置。

验证思路 #

配置完成后，JDBC驱动会分两步执行：

• 先用Kerberos主体username@DOMAIN.COM完成GSS认证，和AD建立信任关系
• 再向PostgreSQL传递你指定的小写域名用户username@domain.com，匹配数据库中存在的用户完成授权

如果还是有问题，建议打开JDBC驱动的调试日志（你的JAAS配置已经开了debug=true，可以再在URL里加loggerLevel=DEBUG），查看认证过程中传递的数据库用户名和Kerberos主体是否符合预期，定位具体问题点。

内容的提问来源于stack exchange，提问作者Brady Clifford