ActiveRecord连接PostgreSQL遇密码认证错误，求排查思路

我来帮你拆解一下这个问题的核心原因，以及对应的安全解决思路：

1. 先搞懂两种连接方式的差异 #

PostgreSQL的pg_hba.conf里区分了两种核心连接类型：

• local：对应Unix域套接字连接，只有同一台机器上的进程能通过这种方式访问数据库
• host：对应TCP/IP连接，包括通过127.0.0.1访问localhost的情况

你的pg_hba.conf配置是：

local all postgres peer
# TYPE DATABASE USER ADDRESS METHOD
# "local" is for Unix domain socket connections only
local all all peer
# IPv4 local connections:
host all all 127.0.0.1/32 md5

为什么sudo -u postgres psql rdb能成功？ #

这条命令用的是Unix域套接字（local类型连接），匹配的是local all all peer规则。peer认证的逻辑是：校验操作系统用户名和PostgreSQL用户名是否一致——你通过sudo -u postgres切换到了postgres系统用户，和数据库的postgres用户名完全匹配，所以不需要密码就能直接连接。

为什么ActiveRecord连接会报错？ #

你的ActiveRecord连接代码是：

ActiveRecord::Base.establish_connection(adapter: 'postgresql', username: 'postgres', database: 'rdb')

默认情况下，Ruby的postgresql适配器（pg gem）会优先尝试用TCP/IP连接（也就是host类型）访问localhost，而不是Unix域套接字。这时候匹配的是host all all 127.0.0.1/32 md5规则，该规则要求使用MD5加密的密码认证，但你的连接参数里没有提供password，所以就抛出了The server requested password-based authentication, but no password was provided.的错误。

2. 安全解决思路（无需改用trust认证） #

方案一：强制ActiveRecord使用Unix域套接字连接 #

在连接参数里指定PostgreSQL的Unix套接字目录（不同系统路径不同，比如Ubuntu默认是/var/run/postgresql，macOS默认是/tmp），这样就会匹配local规则的peer认证，不需要密码：

ActiveRecord::Base.establish_connection(
  adapter: 'postgresql',
  username: 'postgres',
  database: 'rdb',
  host: '/var/run/postgresql' # 可通过`psql -c 'show unix_socket_directories;'`查询实际路径
)

方案二：使用TCP/IP连接并提供密码 #

如果想保留TCP/IP连接的方式，你需要：

1. 给postgres用户设置密码：

   sudo -u postgres psql -c "ALTER USER postgres PASSWORD 'your_secure_password';"
   

2. 在ActiveRecord连接参数里添加密码：

   ActiveRecord::Base.establish_connection(
     adapter: 'postgresql',
     username: 'postgres',
     database: 'rdb',
     password: 'your_secure_password'
   )
   

补充说明 #

你提到修改pg_hba.conf为trust或md5能解决，但trust认证是完全跳过校验，非常不安全（生产环境绝对不能用），而md5本质就是要求提供密码——这两种都是针对TCP/IP连接的调整。其实更合理的做法是让连接方式和pg_hba.conf的规则匹配，这样既安全又符合PostgreSQL的设计逻辑。

内容的提问来源于stack exchange，提问作者Ratatouille