CONFIGURATION PARAMETER连接和认证 / 认证

scram_iterations

设置生成 SCRAM 密文时使用的迭代次数。

Sets the iteration count for SCRAM secret generation.

整数会话引入 16 现存至 20 devel 0 次默认值变更

类型: 整数integer
上下文: 会话任何用户都可在会话内用 SET 修改
默认值: 4096
取值范围: 1 – 2147483647
分类: 连接和认证 / 认证
引入版本: 16
状态: 现存

PostgreSQL 18 手册官方文档引入提交 b577743000

版本轨迹

相对 PostgreSQL 17 无变化。

默认值变迁

4096 16 – 20

默认值自 PostgreSQL 16 起没有变过。带单位的取值换算成了可读形式，原始的 boot_val 与单位写在悬浮提示里。

手册说明

PostgreSQL 18 手册 · 19.3 连接和认证本站手册官方原文

本版译文与 PostgreSQL 16 完全一致，下面就是同一段文字。

使用 SCRAM-SHA-256 加密密码时执行的计算迭代次数。默认值为 4096。更高的迭代次数可以对存储密码遭受暴力破解攻击提供额外保护，但也会使认证变慢。更改此值不会影响现有的 SCRAM-SHA-256 加密密码，因为迭代次数在加密时就已经固定。要利用更改后的值，必须设置新密码。

Note

如果某个角色密码创建时使用的迭代次数，与 postgresql.conf 文件或服务器命令行上指定的 scram_iterations 值不同，未认证用户便可通过观察服务器对连接尝试的响应差异，辨别该角色是否存在。如果你担心这一点，请确保创建所有角色密码时，scram_iterations 都被设为 postgresql.conf 文件或服务器命令行中指定的值。

机制详解

scram_iterations 会写入每个新生成的 SCRAM-SHA-256 密文。提高它会增加离线猜测成本，也会增加正常设置密码与认证工作；既有密文会保留创建时的迭代次数，直至重置密码。

它属于 USER 上下文，因此执行 CREATE ROLE 或 ALTER ROLE 的会话决定写入新密文的次数。即使 postgresql.conf 只有一个值，角色、数据库或应用级覆盖也可能造成多种次数并存。

PostgreSQL 警告：当角色存储次数不同于服务器配置值时，未认证观察者可能通过响应行为差异推断角色存在。因此改变次数需要统一会话策略并轮换所有 SCRAM 密文，而不只是修改 GUC。

调优建议

按典型负载给出的取值思路，不是放之四海皆准的配方：实际取值要看数据量、并发度与硬件。

OLTP在线事务处理

通过安全与认证延迟压测选择唯一次数，在所有密码管理会话中强制使用，并轮换全部角色密码使存储密文收敛。提高前应压测重连风暴与故障转移。
OLAP分析与批处理

分析角色使用相同次数；负载类型不是暴露不同密文次数的理由。安排凭据轮换，避免长期服务账号保留旧次数。
小规格低配实例与开发机

除非测试证明需要改变，否则保留上游次数。小服务器可通过连接池降低连接抖动，但仍必须让所有新密文使用一致次数。

常见问题

修改 GUC 却不重置既有密码；其密文仍保留旧次数。
允许角色或数据库会话默认值生成不同于 postgresql.conf 的密文次数，从而形成角色存在性侧信道。
提高次数却未压测认证风暴、故障转移、连接池重连与密码轮换作业。
误以为更高次数能修复弱密码或弥补已泄漏密文材料。

演化历史

相邻两个大版本之间的差异，新的在前。版本号链到该版的快照。

PostgreSQL 20 ← 19 沿用 19

事实沿用 19
PostgreSQL 16 ← 15 新增此参数

PostgreSQL 16 起可用

逐版本快照

每个收录版本里的 7 项事实，与上一个存在的版本不同的格子带底色。版本号链到该版。

版本	默认值	单位	上下文	类型	最小值	最大值	枚举值
16	`4096`	`—`	`会话`	`整数`	`1`	`2147483647`	`—`
17	`4096`	`—`	`会话`	`整数`	`1`	`2147483647`	`—`
18	`4096`	`—`	`会话`	`整数`	`1`	`2147483647`	`—`
19	`4096`	`—`	`会话`	`整数`	`1`	`2147483647`	`—`
20 沿用	`4096`	`—`	`会话`	`整数`	`1`	`2147483647`	`—`

参考资料

同类参数

参数	类型	上下文	默认值	最近变更
Connections and Authentication 连接和认证 10 个 ↗
认证 10
`authentication_timeout`	整数	重载生效	`1 min`	—
设置完成客户端认证所允许的最长时间。				现存
`db_user_namespace`	布尔	重载生效	`off`	—
启用按数据库划分的用户名空间。				于 17 移除
`gss_accept_delegation`	布尔	重载生效	`off`	—
设置是否接受客户端的 GSSAPI 凭据委派。				现存
`krb_caseins_users`	布尔	重载生效	`off`	—
设置 Kerberos 和 GSSAPI 用户名是否按大小写不敏感方式处理。				现存
`krb_server_keyfile`	字符串	重载生效	`FILE:/etc/postgresql-common/krb5.keytab`	9.11 次
设置 Kerberos 服务器密钥文件的位置。				现存
`md5_password_warnings`	布尔	会话	`on`	—
启用关于 MD5 密码的弃用警告。				现存
`oauth_validator_libraries`	字符串	重载生效	`空字符串`	—
列出可用于验证 OAuth 2.0 Bearer Token 的库。				现存
`password_encryption`	枚举	会话	`scram-sha-256`	142 次
选择生成密码密文时使用的算法。				现存
`password_expiration_warning_threshold`	整数	重载生效	`7 d`	—
设置密码到期告警的提前时间阈值。				现存
`scram_iterations`	整数	会话	`4096`	—
设置生成 SCRAM 密文时使用的迭代次数。				现存

快速链接