PostgreSQL JDBC 驱动 SSL 连接配置指南

PostgreSQL JDBC 驱动 SSL 连接配置指南

【免费下载链接】pgjdbc Postgresql JDBC Driver 项目地址: https://gitcode.com/gh_mirrors/pg/pgjdbc

前言

在现代数据库应用中，数据安全传输至关重要。PostgreSQL JDBC 驱动（pgjdbc）提供了完善的SSL/TLS支持，可以确保客户端与服务器之间的通信安全。本文将全面介绍如何配置和使用PostgreSQL JDBC驱动的SSL功能。

准备工作

在配置JDBC客户端之前，建议先通过psql工具测试SSL连接是否正常工作。成功的SSL连接会显示类似以下信息：

$ psql -h localhost -U postgres
psql (14.5)
SSL connection (protocol: TLSv1.2, cipher: ECDHE-RSA-AES256-GCM-SHA384, bits: 256, compression: off)
Type "help" for help.

SSL连接参数详解

PostgreSQL JDBC驱动提供了多个SSL相关参数：

1. ssl：布尔值参数，设置为true时驱动会验证SSL证书并检查主机名（等同于verify-full模式）

2. sslmode：SSL模式参数，支持以下选项：

   • disable：不使用SSL加密
   • allow：尝试非SSL连接，失败后尝试SSL
   • prefer：优先使用SSL连接，失败后尝试非SSL
   • require：必须使用SSL加密，但不验证证书
   • verify-ca：使用SSL加密并验证证书链
   • verify-full：使用SSL加密并验证证书链及主机名

3. sslNegotiation：SSL协商方式，默认为"postgres"，可设置为"direct"启用直接SSL协商

证书配置

证书文件位置

驱动默认会在以下位置查找证书文件：

• Unix/Linux系统：${user.home}/.postgresql/
• Windows系统：%appdata%/postgresql/

默认文件名：

• 客户端证书：postgresql.crt
• 客户端密钥：postgresql.p12（PKCS-12格式）
• 根证书：root.crt

自定义证书路径

可以通过以下参数覆盖默认路径：

• sslcert：客户端证书路径
• sslkey：客户端密钥路径
• sslrootcert：根证书路径

PKCS-12格式支持

从42.2.9版本开始支持PKCS-12格式，这种格式将客户端密钥和证书合并到一个文件中。使用时需注意：

• 文件扩展名必须为".p12"或".pfx"
• 证书别名必须为"user"
• 使用PKCS-12格式时sslcert参数会被忽略

自定义SSL实现

开发者可以通过实现自定义的SSLSocketFactory来扩展SSL功能：

1. 创建继承自javax.net.ssl.SSLSocketFactory的类
2. 提供无参构造器或接受Properties参数的构造器
3. 在连接URL中通过sslfactory参数指定自定义类名

驱动提供了两个内置实现：

• org.postgresql.ssl.DefaultJavaSSLFactory：使用Java默认SSL工厂
• org.postgresql.ssl.NonValidatingFactory：不验证证书的实现（不推荐生产环境使用）

安全模式对比

sslmode	防窃听	防中间人攻击	适用场景
disable	否	否	不关心安全性，不希望加密开销
allow	可能	否	不关心安全性，但服务器要求时会加密
prefer	可能	否	不关心加密，但服务器支持时会使用
require	是	否	需要数据加密，信任网络连接
verify-ca	是	依赖CA策略	需要加密，且确保连接到可信服务器
verify-full	是	是	需要加密，且确保连接到指定服务器

常见问题处理

证书验证失败

1. 将服务器证书转换为Java可识别的DER格式：

   openssl x509 -in server.crt -out server.crt.der -outform der
   

2. 导入证书到Java信任库：

   • 系统信任库：

     keytool -keystore $JAVA_HOME/lib/security/cacerts -alias postgresql -import -file server.crt.der
     

   • 自定义信任库：

     keytool -keystore mystore -alias postgresql -import -file server.crt.der
     

3. 启动应用时指定信任库：

   java -Djavax.net.ssl.trustStore=mystore -Djavax.net.ssl.trustStorePassword=mypassword com.mycompany.MyApp
   

调试SSL问题

添加JVM参数启用SSL调试：

-Djavax.net.debug=ssl

最佳实践建议

1. 生产环境推荐使用verify-full模式
2. 避免使用NonValidatingFactory，除非在严格控制的测试环境
3. 使用PKCS-12格式替代传统的PEM格式
4. 确保证书有效期和密钥强度符合安全要求
5. 定期轮换证书和密钥

通过合理配置PostgreSQL JDBC驱动的SSL功能，可以确保数据库连接的安全性，防止数据泄露和中间人攻击。

【免费下载链接】pgjdbc Postgresql JDBC Driver 项目地址: https://gitcode.com/gh_mirrors/pg/pgjdbc