pg_hba.conf修改后不生效？易科云PostgreSQL认证顺序与新连接验收

数据库已经迁到新服务器，管理终端能进，应用却一直报没有匹配的认证规则；有人在文件末尾补了一行允许访问，仍然失败，便准备换更大的套餐。这种故障要先核对连接实际走到哪一个实例、以什么地址和身份进入，以及服务器按什么顺序选择认证规则。购买易科云这类自管云服务器时，交付标准应包含一组允许连接与一组拒绝连接的结果，不能只写“数据库安装完成”。下面的检查以Linux上的PostgreSQL为对象，没有对商家机器做性能实测。

交付先写连接清单，再改认证文件

把应用的目标地址、端口、数据库名、登录角色、客户端出口地址和是否使用TLS写到同一份清单里。它们共同决定连接会匹配哪条规则。应用经连接池、跳板或地址转换访问数据库时，服务器看到的源地址可能与应用主机网卡地址不同；售前承诺的独立IP，也不能自动证明数据库接收到的就是这个地址。先从错误日志和实际网络拓扑确认观察位置，避免把客户端地址猜错后扩大放行范围。

保留一个已授权的管理会话，执行SHOW hba_file确认当前实例读取的文件路径，同时核对SHOW port和SHOW listen_addresses。不要根据发行版的默认目录直接改文件：同一台机器可能运行多个主版本、多个集群或容器。对着错误实例修改文件，即使语法完全正确也不会改变目标连接。管理口能登录只能证明这条管理路径可用，不能代替应用角色的验收。

Unix域套接字连接对应local规则，TCP连接对应host等规则；在服务器上不指定主机地址执行客户端，与应用指定域名建立TCP连接，可能经过不同认证入口。把“本机成功、远端失败”记录为两条不同测试，再检查监听和网络连通性。连接拒绝、连接超时、没有匹配规则、口令失败是不同证据，不应统一归因于带宽或内存不足。

这次迁移为什么值得在升级前检查

PostgreSQL项目2026年10月15日发布的19 RC 1公告，列出了11月12日下一次受支持版本更新和第二个候选版本的计划，并把正式发布列为后续目标。这是公告中的排期，不代表候选版本已经适合生产。正在调整系统镜像或数据库版本的团队，应把认证文件位置、客户端兼容性和回退入口一起验证，不要把一次版本变化误认成必须扩容的性能问题。

末尾新增允许规则，为什么仍然没有作用

据PostgreSQL认证文件文档，服务器按连接类型、客户端地址、数据库和用户选择第一条匹配记录；选中之后认证失败，不会继续尝试后面的记录。例如前面已有针对某个网段的拒绝规则，在末尾添加同一来源的允许记录，无法绕开先命中的拒绝。另一种情况是前面命中了口令认证，口令验证失败，后面的证书规则同样不会成为备用路径。规则顺序本身就是权限设计的一部分。

整改时把预期连接的条件逐项套入文件，而不是只搜索角色名。数据库列表、用户组、IPv4与IPv6、TLS连接类型都会改变匹配结果。hostssl仅匹配SSL连接；普通host可以匹配相应的TCP连接，无论是否使用SSL。若希望特定业务必须加密，就需要连同其他可能提前命中的规则一起检查，不能只看到文件里出现hostssl就宣布达标。

地址范围也要由业务范围推导。单个固定IPv4出口通常可以用主机范围表达，而不是把整个互联网都加入允许区。这里的收窄必须建立在确认真实出口的基础上；出口会变化的应用，应先选择稳定的受控访问方式，再设计规则。不要为了快速联通把认证方法改成trust，它会改变身份验证要求，不能作为排障成功的证明。跨机房复制、运维连接与应用访问应分别列出，防止修好应用后意外放开另一类权限。

如果你需要可自行安装和管理Linux数据库的主机，可通过推广入口查看易科云KVM云服务器与多系统支持，核对数据库自管入口。这是推广链接。官网公开的虚拟化与系统支持信息只说明候选产品形态，管理员权限、固定出口、系统版本和数据库维护责任仍应逐项询问，不能从宣传词推导出已经完成认证配置。

文件检查、重载信号与新连接是三份证据

修改前备份原文件并保存有效的回退路径。用有权限的管理角色查询pg_hba_file_rules，先找error非空的行；再按rule_number核对有效规则的顺序。当前文档还提供file_name和line_number，便于追到包含文件，但旧主版本的列可能不同，执行前应先查看对应版本视图定义。默认情况下这个视图只能由超级用户读取，不宜为了方便把高权限账号交给业务程序。

pg_hba_file_rules反映当前文件内容，不是服务器上一次成功加载的规则快照。因此查询没有语法错误，能支持“文件可解析”，不能单独支持“在线进程正在使用它”。Linux上的活动实例通常需要通过pg_ctl reload、pg_reload_conf()或相应信号重新读取。pg_reload_conf()返回成功表示发送重载信号的动作成功，仍要查看服务器日志并建立新连接，才知道修改是否达到预期。

认证发生在建立连接时，连接池里的已有会话不能证明新规则生效。验收要新建连接，或者在受控窗口让指定池连接退出后重新建立；不要在生产高峰直接杀掉所有连接。更改权限后也不能用仍存活的旧会话判断“撤权无效”。至于业务角色是否具备数据库CONNECT权限，还属于认证之外的检查：通过认证不等于获得数据库及表的完整访问权。

把验收做成四个格子

至少安排以下相互独立的结果：指定来源、数据库、角色与TLS条件的新连接成功；同一来源使用错误口令失败；未获准来源的新连接失败；同一角色访问未授权数据库按预期被拒绝。每次记录目标实例、测试时间、来源和服务端错误类别，不把口令写进记录。某一项因缺少测试网络无法执行，就保留未完成项，不能用本机成功抵扣。

定义覆盖率为“已验证且符合预期的连接条件数除以应验证条件数”。假设两种出口、两个角色、允许与拒绝两种结果都要验收，共需要8项；只完成6项时覆盖率为75%。这些数值是验收矩阵的演算，并非商家测试成绩。对支付、客户资料等生产服务，应要求所有约定条件都有结果，不能用平均成功率掩盖一条意外放行的路径。

易科云订单要分清系统门槛与数据库维护责任

本轮实时渠道通网站记录确认网站17为y8l，广告返回易科云对应tracking_url；该渠道商品数量为零，因此没有用接口编造具体套餐资源或现货。商家官网当前展示KVM云服务器、Linux与Windows系统支持，并写明Windows只支持2C2G及以上产品。这个系统安装门槛不能当作PostgreSQL生产容量建议：数据库所需内存、磁盘和连接数还要按真实业务测量。

官网同时提供一键重启和重装等基础设施功能。它们有助于自管主机的系统操作，却不能证明商家会替你审核pg_hba.conf、保管数据库角色口令或在误操作后恢复业务。本文没有把首页起价、优惠码和线路宣传作为最终订单报价，也没有据此承诺某个套餐必然适合数据库。下单时应索取同一产品、相同地区和付款周期的配置单，再核对续费、退款扣费和资源变更条件。

如果团队能维护Linux、能保留管理通道，并能为业务列出允许和拒绝清单，这类自管主机可以进入候选。若需求是商家负责数据库访问策略、故障排查和随时恢复，应先购买有明确责任范围的管理服务，或比较托管数据库；只买更多核心不会产生这项服务。尤其不要把安装Windows的最低规格当成访问认证故障的解决方案，两者不存在这样的因果关系。

采购预算可以写为“主机账单＋维护工时费用＋迁移验证费用”。例如仅作假设，初次整理规则需2小时、两名执行者各花半小时验证，则初次工作量为3人时；如果人工单价为每小时150元，对应450元，而不是将三个人同时工作的墙钟时间误算为一个人的工时。这个预算不含主机费和后续维护，金额也不是商家服务报价。对低价小规格主机，权限交付的人工成本可能比短期升档差价更值得先询价。

准备比较订单时，可用第二处推广入口查看易科云Linux与Windows主机入口，确认系统规格及自助管理条件，再把维护责任写入售前工单。入口用于查看候选产品，不代表本文承诺库存、成交价、退款结果或数据库代维服务。

付款前发出的工单，应能得到明确答案

询问目标Linux镜像和PostgreSQL主版本能否自行安装，是否获得修改认证文件和执行重载的权限；网络侧是否有独立安全策略，来源地址经过哪些转换，能否提供稳定的管理入口；修改失败时能否从控制台恢复旧配置，重装是否会覆盖现有数据；工单支持是否包含数据库认证排查，若不包含，额外服务如何计费；最后要求把续费周期、退款适用条件与实际套餐写在同一回复中。答复缺失时应继续核对，而不是用更高档套餐替代未知条件。

交付单最终保留文件位置、规则备份、重载日志、新连接验收矩阵及回退负责人。先让合法业务成功连接，也让不该进入的连接确实失败；达到这一步后，再根据真实CPU、内存和磁盘负载决定是否升档。认证配置的验收与性能采购有先后证据，能让一笔升级费用对应到真正需要增加的资源。

资料来源

PostgreSQL官方：客户端认证文件与规则顺序

PostgreSQL官方：认证规则文件视图及其限制

PostgreSQL官方：服务器信号与配置重载函数

PostgreSQL官方：2026年10月15日候选版本公告与更新排期

易科云官网：云服务器、系统支持与自助管理说明