客户端认证核心参数
1.pg_hba.conf 参数文件定义了允许哪些主机以什么样的方式连接到哪些数据库。主要参数如表1.1所示：
表1.1 pg_hba.conf 参数
| 名称 | 概述 |
|---|---|
| type | 连接类型，如 host（通过 TCP/IP 连接）、local（Unix 域套接字）、hostssl（仅通过 SSL 连接的 TCP/IP 连接）、hostnossl（非 SSL 的 TCP/IP 连接）。 |
| database | 目标数据库名称，可以是 all（所有数据库）、具体数据库名或多个数据库名。 |
| user | 用户名，可以是 all（所有用户）、具体用户名或多个用户名。 |
| auth_method | 认证方法（如 trust、password、md5、scram-sha-256、peer、cert）。 |
| auth_option | 认证选项（如 SSL 客户端证书要求）。 |
| address | 客户端 IP 地址或地址范围 |
核心结构体
- Port 结构体，位于 src/include/libpq/be.h，保存客户端连接的信息。
c
typedef struct Port
{
pgsocket sock; /*网络文件描述符，表示连接的套接字。 */
bool noblock; /*套接字是否处于非阻塞模式。 */
ProtocolVersion proto; /* 使用的协议版本，指示前端和后端的协议版本。 */
SockAddr laddr; /* 本地地址，即服务器端的地址。 */
SockAddr raddr; /* 远程地址，即客户端的地址。 */
char *remote_host; /* 远程主机的名称或 IP 地址的文本表示。 */
char *remote_hostname; /*远程主机的主机名（如果可用） */
int remote_hostname_resolv; /* 远程主机名解析状态，可能包含解析的结果或状态码。*/
int remote_hostname_errcode; /* 远程主机名解析错误码，指示解析失败的原因。*/
char *remote_port; /* 远程端口的文本表示。 */
CAC_state canAcceptConnections; /* 表示后端是否能接受连接的状态。 */
char *database_name; /*数据库名称，客户端请求连接的数据库。*/
char *user_name; /*用户名，客户端用来连接数据库的用户。*/
char *cmdline_options; /*命令行选项，启动连接时的额外参数。*/
List *guc_options; /*选项列表，用于配置的全局设置。*/
char *application_name; /*应用程序名称，客户端提供的应用名称。*/
HbaLine *hba; /*配置行，用于验证客户端的连接。*/
const char *authn_id; /*身份验证标识符，用于跟踪身份验证状态。*/
int default_keepalives_idle; /*默认的 TCP 保活空闲时间。*/
int default_keepalives_interval; /*默认的 TCP 保活间隔时间。*/
int default_keepalives_count; /*默认的 TCP 保活重试次数。*/
int default_tcp_user_timeout; /*默认的 TCP 用户超时时间。*/
int keepalives_idle; /*当前设置的 TCP 保活空闲时间。*/
int keepalives_interval; /*当前设置的 TCP 保活间隔时间。*/
int keepalives_count; /*当前设置的 TCP 保活重试次数。*/
int tcp_user_timeout; /*当前设置的 TCP 用户超时时间。*/
#if defined(ENABLE_GSS) || defined(ENABLE_SSPI)
pg_gssinfo *gss;
#else
void *gss;
#endif
bool ssl_in_use; /*表示是否使用了 SSL（安全套接字层）加密。*/
char *peer_cn; /*对等方的证书主题名（Common Name）。*/
char *peer_dn; /*对等方的证书主体名（Distinguished Name）。*/
bool peer_cert_valid; /*对等方证书是否有效。*/
#ifdef USE_OPENSSL
SSL *ssl;
X509 *peer;
#endif
} Port;- HbaLine 结构体用于描述 PostgreSQL 的主机基于认证（HBA）配置中的一行。HBA 配置用于定义客户端如何连接到数据库以及如何进行身份验证。
c
typedef struct HbaLine
{
int linenumber; /*配置文件中该行的行号。*/
char *rawline; /*原始的配置行文本，以字符串形式保存。*/
ConnType conntype; /*连接类型，例如本地连接、TCP/IP 连接等。*/
List *databases; /*允许连接的数据库列表。如果为空，表示允许连接到所有数据库。*/
List *roles; /* 允许连接的角色（用户）列表。如果为空，表示允许所有角色连接。*/
struct sockaddr_storage addr; /*客户端 IP 地址，用于允许连接的来源地址。*/
int addrlen; /*字段的有效长度，如果没有有效地址，则为零。 */
struct sockaddr_storage mask; /*网络掩码，用于地址匹配。*/
int masklen; /*字段的有效长度，如果没有有效掩码，则为零。 */
IPCompareMethod ip_cmp_method; /*IP 地址比较方法，指示如何处理地址匹配（例如精确匹配或子网匹配）。*/
char *hostname; /*允许连接的主机名。*/
UserAuth auth_method; /*认证方法，例如密码、Kerberos、LDAP 等。*/
char *usermap; /*用户映射规则，用于将数据库用户映射到系统用户。*/
char *pamservice; /*服务名称，如果使用 PAM 进行身份验证。*/
bool pam_use_hostname; /*如果为 true，则 PAM 身份验证使用主机名进行匹配。*/
bool ldaptls; /*如果为 true，则启用 LDAP 传输层安全（TLS）。*/
char *ldapscheme; /*连接的协议方案（例如 ldap、ldaps）。*/
char *ldapserver; /*LDAP 服务器的地址。*/
int ldapport; /*LDAP 服务器的端口。*/
char *ldapbinddn; /*LDAP 绑定 DN（Distinguished Name），用于与 LDAP 服务器进行绑定的凭据。*/
char *ldapbindpasswd; /*LDAP 绑定密码，用于绑定的凭据。*/
char *ldapsearchattribute; /*LDAP 搜索属性，用于匹配用户。*/
char *ldapsearchfilter; /*LDAP 搜索过滤器，用于过滤用户。*/
char *ldapbasedn; /*LDAP 基础 DN，用于搜索的起始点。*/
int ldapscope; /*LDAP 搜索范围，例如 base、onelevel 或 sub。*/
char *ldapprefix; /*LDAP 用户名前缀，用于拼接 LDAP 绑定 DN。*/
char *ldapsuffix; /*LDAP 用户名后缀，用于拼接 LDAP 绑定 DN。*/
ClientCertMode clientcert; /*客户端证书模式，定义客户端证书的验证方式。*/
ClientCertName clientcertname; /*客户端证书名称，用于匹配客户端证书。*/
char *krb_realm; /*Kerberos 领域名称，用于 Kerberos 认证。*/
bool include_realm; /*如果为 true，则包括领域名称进行匹配。*/
bool compat_realm; /*如果为 true，则启用领域名称兼容模式。*/
bool upn_username; /*如果为 true，则支持 UPN（User Principal Name）用户名格式。*/
List *radiusservers; /*RADIUS 服务器列表，用于 RADIUS 认证。*/
char *radiusservers_s; /*RADIUS 服务器的文本表示。*/
List *radiussecrets; /*RADIUS 密码列表，用于与 RADIUS 服务器通信的密码。*/
char *radiussecrets_s; /*RADIUS 密码的文本表示。*/
List *radiusidentifiers; /*RADIUS 标识符列表，用于识别 RADIUS 服务器。*/
char *radiusidentifiers_s; /*RADIUS 标识符的文本表示。*/
List *radiusports; /*端口列表，用于 RADIUS 服务器的端口配置。*/
char *radiusports_s; /*RADIUS 端口的文本表示。*/
} HbaLine;客户端认证核心函数栈
- PostmasterMain：实例的入口函数，负责初始化并启动数据库服务器。主要步骤包含：
（1）初始化共享内存和信号处理。
（2）解析命令行参数和配置文件。
（3）创建各种子进程（如后台写进程、检查点进程等）。
（4）进入主循环（ServerLoop）。 - ServerLoop：处理来自客户端的连接请求并创建相应的后端进程。主要步骤包含：
（1）监听新连接请求。
（2）在接收到新连接时，创建后端进程处理该连接。 - BackendStartup启动新的后端进程以处理客户端连接。主要步骤包含：
（1）初始化后端进程环境。
（2）进行用户身份验证（调用 ClientAuthentication）。
（3）初始化会话和用户 ID（调用 Initpostgre）。 - Initpostgre：初始化后端进程的基本环境，包括设置用户和数据库等。主要步骤包含：
（1）初始化内存上下文。
（2）设置会话用户和数据库。
（3）加载系统配置。 - ClientAuthentication：处理客户端的认证请求。
（1）读取 pg_hba.conf 文件，加载认证规则（调用 load_hba）。
（2）选择适当的认证方法并进行认证（调用 PerformAuthentication）。 - CheckPasswordAuth：处理 MD5 密码认证。
（1）验证客户端提供的密码。
（2）返回认证结果。
核心函数栈如下：
PostmasterMain
+--> ServerLoop
+--> BackendStartup
+--> Initpostgres
| +--> InitializeSessionUserId
+--> ClientAuthentication
+--> load_hba
+--> CheckPasswordAuth
+--> CheckSCRAMAuth
客户端认证核心参数代码框架
代码框架