Pg_hba.conf: неудачная аутентификация не переводит клиента к следующему правилу
Фотография конкретного исполнения не приложена.
При разборе доступа к PostgreSQL важно найти первое подходящее правило, а не последнее желаемое. HBA выбирает запись по типу соединения, адресу, базе и пользователю. После выбора метод аутентификации применяется именно из неё.
Документация 18 прямо исключает fall-through: если аутентификация по выбранной записи не удалась, следующие строки не становятся резервными способами входа. Поэтому добавление более узкого разрешения ниже уже совпадающего широкого правила может не изменить ожидаемый результат. Отсутствие совпадения означает отказ доступа.
Include-файлы вставляют записи в общий порядок обработки. Для include_dir действует определённая сортировка имён, а local, host, hostssl и другие типы описывают разные условия канала. Просмотр только одного фрагмента конфигурации не подтверждает, какая запись реально будет выбрана для клиента.
В приёмке используют согласованные тестовые подключения с нужной базой, пользователем, адресом и режимом защиты. Проверяют положительный и отрицательный результат, сохраняя основание выбора записи. Ошибку аутентификации не исправляют автоматическим ослаблением нижних правил: сначала устанавливают действующую первую запись и соответствующий ей механизм проверки клиента.
Основание — Official PostgreSQL major18 documentation snapshot; stable18.6 observed separately from19RC1, разделы Record order; first matching record; include directives. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Использована документация ветки PostgreSQL 18; страницы обновляются внутри major-ветки. Версии действующих сервера и libpq, конфигурация и резервные копии не проверялись. Подключения, SQL-команды и восстановление не выполнялись.