Переход PostgreSQL на SCRAM: метод HBA и формат сохранённого пароля проверяют вместе
Фотография конкретного исполнения не приложена.
При обновлении аутентификации нужно учитывать сервер и клиентские библиотеки. Поддержка SCRAM на сервере не подтверждает способность старого приложения пройти тот же обмен. Поэтому переключение метода требует инвентаризации реальных клиентов, а не только проверки административной утилиты.
Документация 18 различает способ хранения проверочного материала пароля и метод соединения. Если HBA содержит md5, но пароль роли сохранён в SCRAM-формате, сервер может автоматически выбрать SCRAM-аутентификацию. Следовательно, старая надпись md5 в правиле не является доказательством того, какой обмен получит конкретный клиент.
Изменение настройки password_encryption относится к формированию новых сохранённых паролей. План перехода должен явно определить работу с существующими ролями, проверку клиентов и последовательность изменения HBA. Нельзя считать, что смена одного параметра автоматически преобразовала всё ранее сохранённое состояние и обновила внешние приложения.
В приёмке проверяют каждую поддерживаемую библиотеку на тестовой роли и ожидаемый отказ несовместимого клиента. Секреты и проверочные значения не включают в отчёт. Аутентификацию и защиту транспортного канала оценивают отдельно: успешный SCRAM-вход не подтверждает прикладные полномочия пользователя и не заменяет всю политику защищённого подключения.
Основание — Official PostgreSQL major18 documentation snapshot; stable18.6 observed separately from19RC1, разделы SCRAM-SHA-256; MD5 migration; password_encryption. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Использована документация ветки PostgreSQL 18; страницы обновляются внутри major-ветки. Версии действующих сервера и libpq, конфигурация и резервные копии не проверялись. Подключения, SQL-команды и восстановление не выполнялись.
