Prateek Arora：一条只读安全带，却破坏了应用的写入
内容提要
PgLens作者发现，在PgBouncer事务模式下，只读工具用SET SESSION设置只读会残留在共享连接上，导致下一个客户端无法写入。修复方法是改用启动参数传递只读与超时限制，并在连接后校验后端pid与只读状态。作者建议工具开发者不要在连接上执行SET，并应测试事务模式连接池。
延伸解读
事务池模式下的会话设置残留风险
在PgBouncer事务模式下，同一个后端连接会被多个客户端轮流使用。PgLens原本用SET SESSION设置只读，该设置会残留在共享连接上，导致下一个客户端无法执行写操作。这提醒工具开发者：任何会话级SET都可能影响后续客户端，尤其在连接池环境中，必须谨慎对待。
启动参数替代SET的修复思路
作者将只读和超时限制改为通过启动参数传递，如options=-c default_transaction_read_only=on -c statement_timeout=30s -c lock_timeout=5s。这些参数仅对当前后端生效，不会残留。PgBouncer会拒绝不支持的启动参数，从而让工具停止并提示直连，避免在池化环境中产生意外行为。
连接后校验与集成测试的必要性
由于连接池可能被配置为忽略启动参数，PgLens在连接后还会检查后端pid是否保持不变以及只读状态是否生效。同时，作者建议针对真实PgBouncer运行集成测试。这能确保工具在事务模式池化环境下仍能正确保护数据库，避免只读设置失效或泄漏。
PgBouncer 1.26.0的更新与局限
PgBouncer 1.26.0开始跟踪default_transaction_read_only，修复了该特定泄漏，但statement_timeout等设置仍会泄漏。此外，它会在登录时告知客户端池模式，工具可据此允许会话模式而仅拒绝事务模式。开发者需注意版本差异，并持续关注其他会话设置的潜在影响。
Q&A
为什么在PgBouncer事务模式下，只读工具设置只读会导致应用无法写入？
因为事务池会将同一个服务器连接交给下一个客户端，而会话级别的设置（如SET SESSION CHARACTERISTICS AS TRANSACTION READ ONLY）会保留在该连接上，导致下一个客户端继承只读状态，无法执行写操作。
如何正确设置只读和超时限制以避免影响其他客户端？
不要使用SET命令设置会话参数，而应通过启动参数传递，例如options='-c default_transaction_read_only=on -c statement_timeout=30s -c lock_timeout=5s'。这些参数仅对当前后端有效，不会泄漏到其他客户端。
PgBouncer 1.26.0版本对这个问题做了哪些改进？
PgBouncer 1.26.0在Postgres 14及以上版本中会跟踪default_transaction_read_only，因此该特定泄漏已被修复。但它不跟踪statement_timeout等设置，这些仍会泄漏。此外，它会在登录时告知客户端池模式，工具可以据此只拒绝事务模式。
工具开发者应该如何测试以确保在连接池环境下的安全性？
开发者应针对真实的事务模式连接池进行集成测试，并检查连接后后端pid是否保持不变以及只读状态是否生效。同时，避免在连接上执行SET，而是使用启动参数传递保护设置。
如果PgBouncer拒绝启动参数，工具应该如何处理？
PgBouncer会拒绝不支持的启动参数并报错（如'unsupported startup parameter in options'）。此时工具应停止连接并提示用户直接连接Postgres，而不是通过连接池。
为什么作者建议不要在连接上执行SET命令？
因为如果连接经过事务模式连接池，SET命令设置的会话参数会保留在共享连接上，影响后续客户端。除非确定连接直接到Postgres，否则应避免使用SET，改用启动参数。
