Flask连接PostgreSQL时SSL错误本质是psycopg2客户端与服务端SSL模式不匹配：需先确认服务端ssl=on、pg_hba.conf支持SSL认证，再按场景选sslmode=disable（本地开发）、require（云数据库）或verify-full（需配sslrootcert），URI中正确透传参数。
Flask 应用连接 PostgreSQL 时出现 SSL connection has been closed unexpectedly 或 server does not support SSL, but SSL was requested，本质是客户端与服务端在 SSL 模式上不匹配，不是 Flask 本身的问题，而是 psycopg2 连接字符串或环境配置没对齐。
检查 PostgreSQL 服务端是否启用 SSL
PostgreSQL 默认不开启 SSL，即使你配了 sslmode=require，服务端拒绝握手就会报错。先确认服务端状态：
- 登录数据库执行
SHOW ssl;—— 返回on才表示已启用 - 检查
postgresql.conf中ssl = on是否生效 - 检查
pg_hba.conf是否允许 SSL 连接（例如行末带scram-sha-256或cert认证方式，且 hostssl 规则存在）
本地开发环境若没配证书，强行开 SSL 会直接失败；生产环境务必配好 ssl_cert_file 和 ssl_key_file，否则连接会被拒。
调整 psycopg2 的 sslmode 参数值
sslmode 是决定客户端行为的关键参数，不同值对应完全不同的握手逻辑：
立即学习“Python免费学习笔记（深入）”；
创建 Flask + Vue.js 全栈项目，采用单端口架构、uv 依赖管理、结构化日志和生产级前端设计。当用户要求以下操作时触发：创建新的 Flask+Vue 项目、搭建 Web 应用、构建全栈 Python+Vue 应用、初始化 Flask Web 项目、设置单端口 Flask 前后端项目。触发词：新建项目、创建项目、搭建项目、Flask项目、Vue项目。
-
sslmode=disable：彻底禁用 SSL（仅限本地开发、Docker 内网等可信场景） -
sslmode=prefer：先尝试 SSL，失败则降级明文（不推荐，中间人风险） -
sslmode=require：必须 SSL，但不验证证书（常见于云数据库如 AWS RDS、Supabase，默认接受） -
sslmode=verify-full：必须 SSL + 验证证书域名和签发者（需配合sslrootcert参数传入 CA 文件）
例如连接 Supabase 时，连接字符串应类似：postgresql://user:pass@host:5432/db?sslmode=require；若用 verify-full，还得加 &sslrootcert=/path/to/ca.crt。
Flask-SQLAlchemy 中的正确配置写法
很多人在 SQLALCHEMY_DATABASE_URI 里漏掉参数或 URL 编码错误，导致 sslmode 不生效：
- 确保整个 URI 是合法 URL 格式，特殊字符（如
@、/）要urllib.parse.quote编码 - 不要把
sslmode放在connect_args里再重复传——URI 和connect_args同时存在时，后者优先级更高，容易冲突 - 推荐统一写在 URI 末尾：
postgresql+psycopg2://user:pass@host/db?sslmode=require&sslcert=/client.crt&sslkey=/client.key - 若用
connect_args，必须传 dict：{"sslmode": "require"}，不能传字符串
错误示例：SQLALCHEMY_DATABASE_URI = "postgresql://..." 后又写 SQLALCHEMY_ENGINE_OPTIONS = {"connect_args": "sslmode=require"} —— 这会导致参数被忽略或解析异常。
云数据库（RDS、Supabase、Neon）的典型处理
这些平台强制要求 SSL，但证书策略不同：
- AWS RDS：用
sslmode=require即可，官方文档明确说明无需提供证书文件 - Supabase：同 RDS，
sslmode=require足够；若用verify-full，需下载其 CA 证书并指定sslrootcert - Neon：默认支持
sslmode=require，但某些 SDK 版本要求显式加options=-c%20search_path%3Dpublic（URL 编码后），否则初始化失败 - 本地 Docker 容器连宿主机 PostgreSQL：大概率走
host.docker.internal，此时服务端未监听 TLS 端口，必须设sslmode=disable或改用network=host
最常被忽略的一点：某些 PostgreSQL 镜像（如 postgres:15-alpine）默认不生成自签名证书，即使 ssl=on，启动时也会静默跳过 SSL 初始化，连接时表现为 “server does not support SSL” —— 此时不是代码问题，是镜像配置缺失。
