CONFIGURATION PARAMETER连接和认证 / 认证

md5_password_warnings

控制在使用 MD5 加密密码成功认证时，或者在 CREATE ROLE 或 ALTER ROLE 语句设置 MD5 加密密码时，是否生成有关 MD5 密码已弃用的 WARNING。

Enables deprecation warnings for MD5 passwords.

布尔会话引入 18 现存至 20 devel 0 次默认值变更

类型: 布尔bool
上下文: 会话任何用户都可在会话内用 SET 修改
默认值: on
分类: 连接和认证 / 认证
引入版本: 18
状态: 现存

PostgreSQL 18.7 手册官方文档引入提交 db6a4a985b

版本轨迹

PostgreSQL 18 新增此参数。

默认值变迁

on 18 – 19

已记录的默认值在 PostgreSQL 18–19 之间未变。带单位的取值换算成了可读形式，原始的 boot_val 与单位写在悬浮提示里。

手册说明

PostgreSQL 18.7 手册 · 19.3 连接和认证本站手册官方原文

控制在 CREATE ROLE 或 ALTER ROLE 语句设置 MD5 加密密码时，是否生成有关 MD5 密码已弃用的 WARNING。默认值为 on。

机制详解

md5_password_warnings 控制 PostgreSQL 18 的弃用 WARNING：只有 CREATE ROLE 或 ALTER ROLE 设置 MD5 密码密文时才产生。它不会报告使用既有 MD5 密文进行的认证，因此不能作为活跃 MD5 客户端或角色的完整清单。

它属于 USER 上下文，获授权角色可在当前会话中修改，ALTER ROLE 或 ALTER DATABASE 可为未来会话建立默认值。只有会话既执行设置密码语句又启用本参数时，才可能产生警告。

password_encryption 控制以明文设置密码时生成的格式，而既有 pg_authid 密文只有重置密码后才会改变。因此迁移除警告外，还需要受保护的密文类型清点、客户端兼容测试与凭据轮换。

调优建议

按典型负载给出的取值思路，不是放之四海皆准的配方：实际取值要看数据量、并发度与硬件。

OLTP在线事务处理

保持 md5_password_warnings 为 on，但每条警告只能证明某个设置密码语句创建或提交了 MD5 密文。另行清点既有密文类型，并在强制仅 SCRAM 访问前测试所有认证路径。
OLAP分析与批处理

分析角色采用同一规则：遗留驱动可能继续用旧 MD5 密文认证而不产生本警告，因此必须显式测试并轮换这些凭据。
小规格低配实例与开发机

保持警告启用，其开销可忽略。不要把没有警告误当成不存在 MD5 密文或仅支持 MD5 客户端的证据。

常见问题

误以为使用既有 MD5 密文认证时会告警；它只在 CREATE ROLE 或 ALTER ROLE 设置 MD5 密文时触发。
把没有警告当成集群中不存在 MD5 密文或仅支持 MD5 客户端的证明。
在创建或轮换角色的部署会话中关闭警告，从而隐藏新 MD5 密文的产生。
修改 password_encryption 却不轮换既有角色密码，使其存储密文格式保持不变。

演化历史

相邻两个大版本之间的差异，新的在前。版本号链到该版的快照。

PostgreSQL 18 ← 17 新增此参数

PostgreSQL 18 起可用

逐版本快照

每个收录版本里的 7 项事实，与上一个存在的版本不同的格子带底色。版本号链到该版。

版本	默认值	单位	上下文	类型	最小值	最大值	枚举值
18	`on`	`—`	`会话`	`布尔`	`—`	`—`	`—`
19	`on`	`—`	`会话`	`布尔`	`—`	`—`	`—`
20	—	—	—	`布尔`	—	—	—

参考资料

同类参数

参数	类型	上下文	默认值	最近变更
Connections and Authentication 连接和认证 10 个 ↗
认证 10
`authentication_timeout`	整数	重载生效	`1 min`	—
允许完成客户端认证的最长时间。				现存
`db_user_namespace`	布尔	重载生效	`off`	—
此参数启用各数据库独立的用户名。				于 17 移除
`gss_accept_delegation`	布尔	重载生效	`off`	—
设置是否接受客户端的 GSSAPI 委派。				现存
`krb_caseins_users`	布尔	重载生效	`off`	—
设置是否应该以大小写不敏感的方式对待 GSSAPI 用户名。				现存
`krb_server_keyfile`	字符串	重载生效	`FILE:/etc/postgresql-common/krb5.keytab`	9.11 次
设置服务器的 Kerberos 密钥文件的位置。				现存
`md5_password_warnings`	布尔	会话	`on`	—
控制在使用 MD5 加密密码成功认证时，或者在 CREATE ROLE 或 ALTER ROLE 语句设置 MD5 加密密码时，是否生成有关 MD5 密码已弃用的 WARNING。				现存
`oauth_validator_libraries`	字符串	重载生效	`空字符串`	—
设置用于验证 OAuth 连接令牌的库。				现存
`password_encryption`	枚举	会话	`scram-sha-256`	142 次
当在 CREATE ROLE 或 ALTER ROLE 中指定密码时，该参数决定用于加密密码的算法。				现存
`password_expiration_warning_threshold`	整数		—	—
当此参数大于零时，如果距离已认证角色的密码过期剩余时间少于这个时长，服务器会在成功完成密码认证后发出 WARNING。				现存
`scram_iterations`	整数	会话	`4096`	—
使用 SCRAM-SHA-256 加密密码时执行的计算迭代次数。				现存

快速链接