默认情况下，PostgreSQL不会对服务器证书执行任何验证。这意味着可以在客户端不知情的情况下伪造服务器身份，例如修改 DNS 记录或接管服务器的 IP 地址。为了防止伪造，必须使用SSL证书验证。

如果参数sslmode设为verify-ca，libpq 会沿证书链检查到一个受信任的证书机构（CA），以验证服务器是否可信。如果sslmode设为verify-full，libpq 还会验证服务器主机名是否与其证书匹配。如果无法验证服务器证书，SSL 连接将失败。在大多数对安全敏感的环境中，建议使用verify-full。

在 verify-full 模式下，会将主机名与证书的 cn（通用名称）属性匹配。如果 cn 属性以星号（*）开头，该星号会被视为通配符，匹配除点（.）以外的所有字符。这意味着该证书不会匹配子域。如果使用 IP 地址而不是主机名建立连接，则会匹配该 IP 地址（不执行任何 DNS 查询）。

要允许服务器证书验证，必须将一个或多个受信任的CA的证书放置在用户主目录下的~/.postgresql/root.crt文件中（在 Microsoft Windows 上该文件名为%APPDATA%\postgresql\root.crt）。

如果文件~/.postgresql/root.crl存在（微软 Windows 上的%APPDATA%\postgresql\root.crl），证书撤销列表（CRL）项也会被检查。

可以通过设置连接参数 sslrootcert 和 sslcrl，或环境变量 PGSSLROOTCERT 和 PGSSLCRL，更改根证书文件与 CRL 的位置。

如果服务器请求一个受信任的客户端证书，libpq将发送存储在用户主目录下的文件~/.postgresql/postgresql.crt中的证书。该证书必须由服务器信任的证书机构（CA）之一签发。匹配的私钥文件~/.postgresql/postgresql.key也必须存在。私钥文件的权限必须不允许任何对世界或组的访问；可以通过命令chmod 0600 ~/.postgresql/postgresql.key实现。在 Microsoft Windows 上，这些文件的名称分别为%APPDATA%\postgresql\postgresql.crt和%APPDATA%\postgresql\postgresql.key，并且不进行特别的权限检查，因为该目录被假定为安全的。证书和密钥文件的位置可以通过连接参数sslcert和sslkey或环境变量PGSSLCERT和PGSSLKEY来覆盖。

在某些情况下，客户端证书可能由一个“中间”证书机构签发，而不是由服务器直接信任的机构签发。要使用这样的证书，把签发机构的证书追加到postgresql.crt文件中，然后是其父机构的证书，依此类推直到一个服务器信任的“根”机构。在postgresql.crt包含多个证书的所有情况中，都应包含根证书。

注意，root.crt列出的是被认为可以信任其为服务器证书签名的顶层 CA。原则上它不必列出为客户端证书签名的 CA，尽管在大多数情况下该 CA 也会被信任用于服务器证书。

sslmode参数的不同值提供不同级别的保护。SSL 可以防范三类攻击：

要确保连接安全，必须在建立连接之前，在客户端和服务器两端配置 SSL。如果仅在服务器上配置，客户端可能在得知服务器要求高安全性之前就已发送敏感信息（例如密码）。在 libpq 中，可以将 sslmode 参数设为 verify-full 或 verify-ca，并向系统提供用于验证的根证书，以确保连接安全。这类似于使用 https URL 进行加密的网页浏览。

服务器通过身份认证后，客户端便可以传送敏感数据。这意味着，在此之前，客户端无需知道是否会使用证书进行认证，因此可以安全地仅在服务器配置中指定这一点。

所有SSL选项都以加密和密钥交换的形式带来开销，因此必须在性能和安全性之间做出权衡。下表展示了不同sslmode值所能防范的风险，以及它们在安全性和开销方面所作的表述：

verify-ca和verify-full之间的区别取决于根CA的策略。如果使用了一个公共CA，verify-ca允许连接到那些可能已经被其他人注册到该CA的服务器。在这种情况下，总是应该使用verify-full。如果使用了一个本地CA或者甚至是一个自签名的证书，使用verify-ca常常就可以提供足够的保护。

sslmode 的默认值是 prefer。如表所示，从安全角度看，这一设置没有意义；它只会在可能时带来性能开销。将其作为默认值仅出于向后兼容的考虑，不建议在有安全要求的部署中使用。

如果你的应用初始化了libssl和/或libcrypto库，而libpq构建时带有SSL支持，你应该调用PQinitOpenSSL来告知libpq，libssl和/或libcrypto库已经被你的应用初始化，这样libpq就不会再初始化那些库。 SSL API 的详细信息见 http://h71000.www7.hp.com/doc/83final/ba554_90007/ch04.html。