安德鲁·邓斯坦：使用SSL客户端证书进行身份验证
内容提要
SSL客户端证书在Postgres中用于身份验证，特别适用于企业和政府环境。客户端证书需由受信任的证书颁发机构签名，并包含用户名称，可以替代或补充其他身份验证方式，以确保连接用户身份的真实性。
延伸解读
客户端证书在Postgres中的适用场景
文章指出，客户端证书在Postgres中尤其适合企业或政府环境，因为管理员通常能控制连接的两端，使得部署客户端证书更可行。与浏览器场景不同，在Postgres中，客户端证书可以替代或补充其他认证方式，从而验证连接用户的身份。
cert与verify-full的配置差异
在pg_hba.conf中，如果认证机制设置为cert，则仅使用客户端证书认证；如果添加clientcert=verify-full选项到其他认证机制（如scram-sha-256），则客户端证书会与该机制结合，实现双因素认证。注意，这两种选项都只能用于hostssl行。
证书要求与常见误区
客户端证书必须由服务器上ssl_ca_file指定的受信任CA签名，并且证书主题的CN字段必须包含用户名（或使用clientname=DN时匹配整个主题）。文章强调，不能也不应使用服务器SSL证书作为客户端证书，因为服务器证书的私钥应严格保密。
客户端证书的存放位置
对于libpq客户端（如psql），客户端证书和密钥应存放在Unix的~/.postgresql/或Windows的%APPDATA%\postgresql目录下，并分别命名为postgresql.crt和postgresql.key。如需使用其他位置，可通过sslcert和sslkey连接参数指定。JDBC用法类似，但需使用PKCS#8格式的密钥文件（通常为postgresql.pk8）。
Q&A
SSL客户端证书在Postgres中有什么作用？
SSL客户端证书用于在Postgres中进行身份验证，特别适合企业和政府环境。
如何配置Postgres使用SSL客户端证书进行身份验证？
在pg_hba.conf文件中，将认证机制设置为cert，以仅使用客户端证书进行身份验证。
SSL客户端证书的私钥有什么要求？
客户端证书的私钥必须与证书匹配，以验证连接用户的身份。
SSL客户端证书需要由谁签名？
客户端证书必须由受信任的证书颁发机构签名。
如何存放SSL客户端证书和密钥？
客户端证书和密钥应存放在特定目录，如~/.postgresql/或%APPDATA%\postgresql。
使用SSL客户端证书的好处是什么？
使用SSL客户端证书可以替代或补充其他身份验证方式，确保连接用户身份的真实性。
