当trust认证被指定时，PostgreSQL假设任何可以连接到服务器的人都被授权使用他们指定的任何数据库用户名（包括数据库超级用户）访问数据库。只有当在操作系统层对进入服务器的连接有足够保护时，才应该使用这种方法。

trust 认证对单用户工作站上的本地连接来说是 合适且非常方便的。在多用户机器上，通常单用它并 不合适。不过，如果用文件系统权限限制对 服务器 Unix 域套接字文件的访问，即使在多用户机器上也可以使用 trust。为此，可按 第 16.4.1 节 中的说明设置 unix_socket_permissions（可能还有 unix_socket_group）配置参数。或者，也可以 设置 unix_socket_directory 配置参数，把套接字文件放在一个经过适当限制的目录中。

设置文件系统权限只能有助于 Unix 套接字连接。本地 TCP/IP 连接不会被它限制。因此，如果你想利用文件系统权限来控制本地安全，那么从pg_hba.conf中移除host ... 127.0.0.1 ...行，或者把它改为一个非trust认证方法。

只有当你信任由 pg_hba.conf 中指定 trust 的行所允许连接的每台机器上的每个用户时，trust 认证才适合用于 TCP/IP 连接。对来自 localhost（127.0.0.1）以外的任何 TCP/IP 连接使用 trust，通常都不合理。

基于密码的认证方法有 md5、 crypt 和 password。除了密码通过连接发送的方式之外，这些方法的操作是相似的。如果你对密码“嗅探”攻击有任何顾虑，应首选 md5；如果必须支持 pre-7.2 客户端，则次选 crypt。对通过开放 Internet 的连接（除非你在连接周围使用 SSL、SSH 或其他通信安全封装），尤其应避免使用明文 password。

PostgreSQL 数据库密码与操作系统用户密码是分开的。每个数据库用户的密码存储在 pg_shadow 系统目录表中。密码可以用 SQL 命令 CREATE USER 和 ALTER USER 管理，例如 CREATE USER foo WITH PASSWORD 'secret';。默认情况下，即如果没有设置密码，存储的密码为空，该用户的密码认证将总是失败。

要限制允许连接到某些数据库的用户集合，可在 pg_hba.conf 的 user 列中列出这些用户，如前一节所解释的那样。

Kerberos 是一种行业标准的、适合在公共网络上进行分布式计算的安全认证系统。对 Kerberos 系统的描述远超出本文档的范围；就一般性而言，它可能相当复杂（然而强大）。Kerberos FAQ 或 MIT Project Athena 可以作为入门的起点。存在若干 Kerberos 发行版来源。

虽然 PostgreSQL 同时支持 Kerberos 4 和 Kerberos 5，但只推荐 Kerberos 5。Kerberos 4 被认为不安全，不再推荐一般使用。

要使用 Kerberos，必须在构建时启用对它的支持。更多信息见 第 14 章。Kerberos 4 和 5 都受支持，但任何一个构建中只能支持一个版本。

PostgreSQL 像一个正常的 Kerberos 服务那样运作。服务主体的名称是 servicename/hostname@realm，其中 servicename 是 postgres（除非在 configure 时用 ./configure --with-krb-srvnam=whatever 选择了不同的服务名）。hostname 是服务器机器的完全限定主机名。服务主体的 realm 是服务器机器的首选 realm。

客户端主体必须以它们的 PostgreSQL 用户名作为第一个组成部分，例如 pgusername/otherstuff@realm。目前 PostgreSQL 不检查客户端的 realm；因此，如果你启用了跨 realm 认证，那么任何能与你的 realm 通信的任何 realm 中的任何主体都会被接受。

确保你的服务器密钥文件可被 PostgreSQL 服务器账号读取（而且最好只被它读取）。（另见 第 16.1 节。）密钥文件的位置由运行时配置参数 krb_server_keyfile 指定。（另见 第 16.4 节。）默认值：使用 Kerberos 4 时为 /etc/srvtab，使用 Kerberos 5 时为 FILE:/usr/local/pgsql/etc/krb5.keytab（或构建时指定为 sysconfdir 的那个目录）。

要生成 keytab 文件，例如可以（用版本 5）使用

kadmin% ank -randkey postgres/server.my.domain.org
kadmin% ktadd -k krb5.keytab postgres/server.my.domain.org

细节请阅读 Kerberos 文档。

连接到数据库时，确保你持有与所请求的数据库用户名匹配的主体的票据。一个例子：对于数据库用户名 fred，主体 fred@EXAMPLE.COM 和 fred/users.example.com@EXAMPLE.COM 都可以用来向数据库服务器认证。

如果你在 Apache Web 服务器上使用来自 http://modauthkerb.sf.net 的 mod_auth_kerb 和 mod_perl，你可以在 mod_perl 脚本中使用 AuthType KerberosV5SaveCredentials。这能通过 Web 安全地访问数据库，无需额外的密码。

ident 认证方法的工作方式是获取客户端的操作系统用户名，并用一个列出允许的对应用户名对的映射文件来确定允许的数据库用户名。确定客户端用户名是安全上的关键点，其工作方式因连接类型而异。

map-name ident-username database-username

# MAPNAME     IDENT-USERNAME    PG-USERNAME

omicron       bryanh            bryanh
omicron       ann               ann
# bob has user name robert on these machines
omicron       robert            bob
# bryanh can also connect as guest1
omicron       bryanh            guest1

这种认证方法的工作方式与 password 类似，只不过它使用 PAM（可插拔认证模块）作为认证机制。默认的 PAM 服务名为 postgresql。你可以在文件 pg_hba.conf 中 pam 关键字之后可选地提供你自己的服务名。关于 PAM 的更多信息，请阅读 Linux-PAM 页面 和 Solaris PAM 页面。