PostgreSQL 连不上报 peer authentication failed：pg_hba.conf 的认证方式和连接方式要对上

PostgreSQL 装好后，用 psql -U postgres 本机连能进，但用别的用户、或者从应用/远程连时报：

psql: error: FATAL:  Peer authentication failed for user "xxx"

或者干脆：

FATAL:  password authentication failed for user "xxx"

Peer authentication 到底是什么：PostgreSQL 通过 pg_hba.conf 决定"谁能用什么方式连"。peer 认证的意思是"你声称自己是 postgres 用户，那操作系统里运行 psql 的这个用户也得是 postgres"。所以用 root 或别的系统用户去 psql -U postgres，系统用户和数据库用户对不上，就报 peer authentication failed。

默认 pg_hba.conf 常见的 local 行：

local   all   all   peer
host    all   all   127.0.0.1/32   scram-sha-256

• local 走 Unix socket，默认 peer，要求操作系统用户 = 数据库用户。
• host ... 127.0.0.1 走 TCP，用密码（scram-sha-256）。

所以：

• 本机 socket 连，直接用系统 postgres 用户（sudo -u postgres psql）就不报错，因为对上了。
• 想用别的系统用户本机连，要么 sudo -u postgres psql，要么把 pg_hba 里 local 改成 md5/scram-sha-256 并给数据库用户设密码，要么 trust（本地测试用，别上生产）。
• 远程/应用连不上，多半是应用用了 Unix socket 但系统用户不对，或走 TCP 但密码认证的 host 行没匹配上。

排查顺序：

# 1. 看当前连接方式生效的是哪一行
psql -U postgres -h /var/run/postgresql   # 走 socket
# 如果应用配的 host 是 localhost，走的是 127.0.0.1 那行（TCP），不是 local 行！

# 2. 查 pg_hba.conf 实际内容
SHOW hba_file;
sudo grep -v '^#' $(SHOW hba_file 的结果)   # 或直接 cat 默认路径 /etc/postgresql/*/main/pg_hba.conf

关键认知：host 写成 localhost 时走 TCP（127.0.0.1），跟 socket 的 local 行是两码事。很多人改了半天 local 行没用，因为应用连的是 localhost 走 TCP，命中 127.0.0.1/32 那行，要改的是那行，并确认密码认证方式（scram-sha-256）和应用侧密码一致。

常见修正：

1. 应用用 socket + 系统用户 postgres → 让应用进程跑在 postgres 系统用户下，或用 sudo -u。
2. 应用走 TCP localhost → pg_hba 里确保有 host all all 127.0.0.1/32 scram-sha-256，且 postgres 用户设了密码：

ALTER USER postgres WITH PASSWORD '新密码';

3. 远程服务器连 → 加对应网段的 host 行，并确认 listen_addresses 不是只听 localhost：

listen_addresses = '*'   # postgresql.conf

然后重启，改完 pg_hba 也要 SELECT pg_reload_conf(); 或 systemctl reload postgresql。

总结：peer 报错 = 认证方式要求"OS 用户=DB 用户"没满足。先分清应用走的是 socket 还是 TCP，再改对 pg_hba 的对应行，别盲改。改完记得 reload 才生效。