PostgreSQL默认拒绝远程连接是安全设计，需同时配置postgresql.conf的listen_addresses和pg_hba.conf的host规则；postgres用户远程登录前必须设密码并使用md5等认证方式，且须检查防火墙、SELinux及云安全组。
PostgreSQL 默认拒绝远程连接，且 postgres 用户无密码、不能直接远程登录——这不是 bug，是安全设计。必须显式配置权限和网络策略才能用。
pg_hba.conf 里 host 行写错就连不上
很多人改了 postgresql.conf 的 listen_addresses，但连不上，真正拦住连接的是 pg_hba.conf。它按顺序匹配，第一条命中即生效，不往下看。
- 常见错误：只加了
host all all 0.0.0.0/0 trust，但前面已有local all all peer或更严格的host规则，导致新规则根本没机会生效 - 生产环境别用
trust；改用md5或scram-sha-256（后者需 PostgreSQL ≥ 10） - IP 段要写对：
192.168.1.0/24表示该网段，0.0.0.0/0是全部 IPv4，::/0才是全部 IPv6 - 修改后必须执行
sudo systemctl reload postgresql（或对应版本名如postgresql-16），restart会中断现有连接
postgresql.conf 的 listen_addresses 不只是填 *
listen_addresses = '*' 看似简单，但实际生效受系统级限制：
- 若服务器有多个网卡（如内网
10.0.2.15、公网192.168.1.100），'*'会监听所有地址，但防火墙可能只放行部分端口 - 更安全的做法是明确列出需要的地址：
listen_addresses = '127.0.0.1,10.0.2.15'，避免意外暴露到公网 - 若使用 systemd 管理服务，某些打包版本（如 RHEL/CentOS 的
postgresql-16）会通过Environment=PGPORT=5432控制端口，此时改postgresql.conf中的port可能无效 - 确认监听是否生效：运行
sudo ss -tlnp | grep :5432，看到*:5432或具体 IP:5432 才算成功
postgres 用户默认无密码，远程登录必须设密码
源码编译或包管理器安装后，postgres 系统用户存在，但数据库内 postgres 角色默认没有密码，peer 或 ident 认证方式下本地可免密登录，远程却必然失败。
- 切到
postgres系统用户后，用psql -U postgres进入本地 psql - 执行：
ALTER USER postgres PASSWORD 'your_strong_password'; - 如果提示
ERROR: role "postgres" does not exist，说明当前登录用户不是postgres角色，先查：\du - 密码强度建议：至少 8 位，含大小写字母+数字，避免常见单词；不要和系统用户密码相同
- 改完密码后，
pg_hba.conf中对应行必须用md5或更高强度认证方式，否则密码无效
防火墙和 SELinux 是隐形拦截者
即使配置全对，telnet your_ip 5432 仍超时，大概率是系统层拦住了。
- CentOS/RHEL 8+ 默认用
firewalld：sudo firewall-cmd --permanent --add-port=5432/tcp，再sudo firewall-cmd --reload - iptables 直接规则：
sudo iptables -I INPUT -p tcp --dport 5432 -j ACCEPT，并保存（service iptables save或iptables-save > /etc/sysconfig/iptables） - SELinux 若为
Enforcing，需放行端口：sudo semanage port -a -t postgresql_port_t -p tcp 5432（如未安装semanage，先yum install policycoreutils-python-utils） - 云服务器（如阿里云、AWS）还要检查安全组规则，它比本地防火墙优先级更高
最易被忽略的是 pg_hba.conf 文件路径——不同安装方式路径差异极大：/var/lib/pgsql/16/data/pg_hba.conf（RPM）、/usr/local/pgsql/data/pg_hba.conf（源码）、/etc/postgresql/16/main/pg_hba.conf（Debian/Ubuntu APT）。改错文件等于没改。
