Use for authorized database se…

# PostgreSQL 14 测试环境安全评估指南（授权范围内）

一、评估前准备

• 获得书面授权：确认评估范围、时间窗口、责任人签字，仅限测试环境。
• 信息收集：记录3台实例的IP、端口（默认5432）、版本号：

```sql

SELECT version();

```

• 准备账号：确保拥有超级用户或pg_read_all_data权限，用于配置检查。

二、弱口令检查

• 登录测试法：使用常见弱密码字典对账户逐一尝试登录：

```bash

psql -h <IP> -U <用户名> -W

```

可编写脚本批量测试常见组合（postgres/test/123456/password等）。

• 口令策略核查：确认是否安装 passwordcheck 扩展（需编辑postgresql.conf加载，检查shared_preload_libraries）。
• 重点对象：postgres超级用户、应用账号、pg_roles中的历史遗留账号。
• 检查无密码/信任认证：查看pg_hba.conf中是否出现 trust 或 ident 配置。

三、权限配置检查

• 超级用户清单：

```sql

SELECT rolname FROM pg_roles WHERE rolsuper = true;

```

• 可登录账号审计：

```sql

SELECT rolname FROM pg_roles WHERE rolcanlogin;

```

• public schema默认权限：PG14中public schema默认public可CREATE，建议REVOKE。
• 数据库级GRANT：检查是否有PUBLIC角色被授予CONNECT/CREATE等过度权限。
• 默认数据库：确认postgres、template1中是否残留测试数据或多余账号。

四、网络与认证配置

• 监听地址：检查postgresql.conf中listen_addresses，避免绑定 * 且无防火墙限制。
• 认证方式：pg_hba.conf中优先使用scram-sha-256，禁用md5（可查password_encryption参数）。
• 密码加密存储验证：

```sql

SHOW password_encryption;

```

五、整改建议

• 弱口令账号立即改强密码（建议长度≥12位，含大小写/数字/符号）。
• 删除或禁用无用账号：ALTER ROLE xxx NOSUPERUSER NOLOGIN;
• 收紧pg_hba.conf网段白名单，启用日志审计（log_connections、log_disconnections）。
• 输出评估报告：风险项、风险等级、整改建议、复测时间。