如何从外部ETL应用使用最新凭据访问Heroku Postgres数据库？

首先明确说：用Heroku Config Vars API获取数据库凭据是完全可行的，而且是官方认可的应对凭据轮换的方法之一，不过还有更省心的替代方案，我给你详细拆解下：

一、Config Vars API方案的实操细节 #

这个方案的核心思路是每次拉取数据前，先调用Heroku API拿到当前有效的数据库凭据，再用新凭据连接Postgres：

• 第一步：生成Heroku访问令牌
  你需要创建一个具有view权限的Personal Access Token（在Heroku账户设置里的“Applications”部分生成），这个令牌用来调用Config Vars API，一定要妥善存在你的ETL应用的安全密钥管理工具或环境变量里，绝对不能硬编码。
• 第二步：调用API获取最新凭据
  每次拉取数据前，发送GET请求到https://api.heroku.com/apps/{你的Heroku应用名}/config-vars，请求头要带上Authorization: Bearer {你的访问令牌}和Accept: application/vnd.heroku+json; version=3。
  返回的JSON里会包含DATABASE_URL字段，这就是当前有效的Postgres连接字符串。
• 注意事项：
  • 不用每次拉取都调用API，Heroku的凭据轮换周期一般是几个月，你可以缓存这个凭据1-2小时，避免触发API速率限制（每天几次的调用量其实完全不用担心，但缓存更稳妥）。
  • 一定要处理API调用失败的情况：比如网络超时、令牌过期，加个重试机制或者告警，避免ETL任务中断。

二、更优的替代方案：创建只读数据库用户 #

如果你的ETL只需要读取数据，创建一个独立的只读数据库用户是更省心的选择，因为这个用户的凭据不会被Heroku自动轮换：

• 创建只读角色：
  通过Heroku CLI进入Postgres控制台：heroku pg:psql -a {你的应用名}，然后执行SQL：

  CREATE ROLE etl_readonly WITH LOGIN PASSWORD '你的强密码';
  GRANT SELECT ON ALL TABLES IN SCHEMA public TO etl_readonly;
  -- 如果有新表自动创建的需求，还要设置默认权限
  ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO etl_readonly;
  

• 使用这个用户的凭据：
  把这个用户的连接字符串（格式：postgres://etl_readonly:你的密码@{Heroku Postgres主机}:{端口}/{数据库名}）存在你的ETL应用的环境变量里，直接用它连接拉取数据就行，完全不需要依赖Heroku API，稳定性更高。

三、进阶方案：逻辑复制（适合高频同步） #

如果你的ETL需要近实时同步数据，而不是每天几次的拉取，Heroku Postgres支持逻辑复制：

• 你可以在外部应用设置一个复制槽，订阅Postgres的变更日志，实时接收数据更新。这种方式不需要频繁获取凭据（只要复制用户的凭据不手动修改），适合长期稳定的同步场景，不过配置相对复杂一点，需要开启Postgres的wal_level为logical。

总结 #

• 如果你是每天几次的低频拉取，只读用户方案是最优选择，减少对Heroku API的依赖，运维成本更低；
• 如果你必须使用Heroku自动管理的主凭据，Config Vars API是可靠的方案，只要做好令牌安全和错误处理；
• 高频同步场景可以考虑逻辑复制。

内容的提问来源于stack exchange，提问作者Simon Ndunda