md5_password_warnings

手册说明

PostgreSQL 18 手册 · 19.3 连接和认证 本站手册 官方原文 ↗

机制详解

md5_password_warnings 控制 PostgreSQL 18 的弃用 WARNING：只有 CREATE ROLE 或 ALTER ROLE 设置 MD5 密码密文时才产生。它不会报告使用既有 MD5 密文进行的认证，因此不能作为活跃 MD5 客户端或角色的完整清单。

它属于 USER 上下文，获授权角色可在当前会话中修改，ALTER ROLE 或 ALTER DATABASE 可为未来会话建立默认值。只有会话既执行设置密码语句又启用本参数时，才可能产生警告。

password_encryption 控制以明文设置密码时生成的格式，而既有 pg_authid 密文只有重置密码后才会改变。因此迁移除警告外，还需要受保护的密文类型清点、客户端兼容测试与凭据轮换。

调优建议

按典型负载给出的取值思路，不是放之四海皆准的配方：实际取值要看数据量、并发度与硬件。

• OLTP在线事务处理

  保持 md5_password_warnings 为 on，但每条警告只能证明某个设置密码语句创建或提交了 MD5 密文。另行清点既有密文类型，并在强制仅 SCRAM 访问前测试所有认证路径。

• OLAP分析与批处理

  分析角色采用同一规则：遗留驱动可能继续用旧 MD5 密文认证而不产生本警告，因此必须显式测试并轮换这些凭据。

• 小规格低配实例与开发机

  保持警告启用，其开销可忽略。不要把没有警告误当成不存在 MD5 密文或仅支持 MD5 客户端的证据。

常见问题

• 误以为使用既有 MD5 密文认证时会告警；它只在 CREATE ROLE 或 ALTER ROLE 设置 MD5 密文时触发。
• 把没有警告当成集群中不存在 MD5 密文或仅支持 MD5 客户端的证明。
• 在创建或轮换角色的部署会话中关闭警告，从而隐藏新 MD5 密文的产生。
• 修改 password_encryption 却不轮换既有角色密码，使其存储密文格式保持不变。

演化历史

相邻两个大版本之间的差异，新的在前。版本号链到该版的快照。

1. PostgreSQL 20 ← 19 沿用 19

   事实沿用 19

2. PostgreSQL 18 ← 17 新增此参数

   +PostgreSQL 18 起可用

逐版本快照

每个收录版本里的 7 项事实，与上一个存在的版本不同的格子带底色。版本号链到该版。

关联参数

password_encryptionscram_iterationsauthentication_timeoutoauth_validator_librarieskrb_server_keyfile

参考资料

• PostgreSQL 19 Beta 3：md5_password_warnings
• PostgreSQL 19 发行说明

同类参数