应配置environments/default.yaml的database节并初始化连接池，启用TLS加密、动态凭证注入、最小权限账号及泄漏检测机制。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您尝试让Hermes Agent与数据库建立连接，但出现认证失败、连接超时或凭证泄露等异常，则可能是由于连接参数配置不当或安全机制缺失。以下是实现可靠且安全的数据库连接的具体操作路径：
一、配置基础连接参数与连接池初始化
数据库连接需通过标准化配置项启动连接池，避免直连或硬编码连接字符串。Hermes Agent依赖environments/default.yaml中的database节定义初始连接行为，并在启动时调用tools/database/connection_pool.py完成池化实例化。
1、打开environments/default.yaml文件，定位database配置区块。
2、设置host、port、username、database_name字段，确保值为实际数据库地址与凭据上下文引用，而非明文填写。
3、在connection_pool子节中指定max_connections、min_connections、idle_timeout等参数，例如将max_connections设为10以匹配中等负载场景。
4、保存文件后，执行hermes agent start命令触发连接池初始化逻辑，日志中应出现“Connection pool initialized with 5 idle connections”提示。
二、启用TLS加密传输通道
未加密的数据库通信易遭网络嗅探，必须强制启用TLS以保障传输层机密性。Hermes Agent支持服务端证书验证与客户端证书双向认证两种模式，推荐生产环境启用后者。
1、获取数据库服务端CA证书文件ca.crt，将其存入容器可读路径如/etc/hermes/db/tls/ca.crt。
2、在environments/default.yaml中添加tls配置项：tls: enabled: true, ca_file: "/etc/hermes/db/tls/ca.crt", insecure_skip_verify: false。
3、若数据库要求客户端证书认证，还需挂载client.crt与client.key至同一目录，并在配置中补充cert_file与key_file路径。
4、重启Agent进程，检查日志是否包含“TLS handshake successful with server”字样。
三、注入动态凭证替代明文密码
将密码直接写入配置文件会导致凭证硬编码风险，必须通过外部安全存储系统注入运行时凭证，确保凭证生命周期可控、不可持久化。
1、删除environments/default.yaml中password、api_token等所有明文敏感字段。
2、将数据库密码存入Kubernetes Secret，名称设为hermes-db-secret，键名为db-password。
3、修改Agent Deployment，通过envFrom挂载该Secret为环境变量：envFrom: [{secretRef: {name: "hermes-db-secret"}}]。
4、在配置中改用环境变量引用方式，例如password_env_var: "DB_PASSWORD"，使连接池初始化时自动读取。
四、限制数据库账户最小权限范围
高权限数据库账号一旦泄露，可能引发数据导出、表结构篡改甚至服务瘫痪。Hermes Agent应仅使用具备SELECT/INSERT/UPDATE权限的专用账号，禁止授予DROP、GRANT、SUPER等危险权限。
1、登录数据库服务器，执行CREATE USER 'hermes_app'@'%' IDENTIFIED BY 'placeholder';创建隔离账号。
2、执行GRANT SELECT, INSERT, UPDATE ON hermes_production.* TO 'hermes_app'@'%';授权指定库表。
3、立即执行FLUSH PRIVILEGES;使权限生效。
4、在environments/default.yaml中将username字段设为hermes_app，并确认password_env_var指向对应密钥。
五、启用连接池泄漏检测与自动回收
长期运行中若存在未正确close()的连接，将导致连接池耗尽并阻塞后续请求。Hermes Agent内置泄漏检测机制，需显式开启并配置响应策略。
1、在environments/default.yaml的connection_pool区块中添加leak_detection_threshold: 60000（单位毫秒）。
2、启用自动回收功能：auto_recover_on_leak: true。
3、确保tools/monitoring/connection_pool_monitor.py被导入主启动流程，且get_status()调用未被注释。
4、观察日志中是否周期性输出“Detected leaked connection from stack trace”，确认检测逻辑已激活。
