OpenGauss中pg_hba.conf配置sha256却连接失败，根本原因是服务端未真正启用SHA256密码加密：需确保password_encryption_type=1且用户密码已用ALTER USER重设，同时必须启用SSL（ssl=on），因SHA256强制要求加密传输通道。
pg_hba.conf里写sha256却连不上？先确认OpenGauss版本和密码加密类型是否匹配
opengauss 3.0+ 默认启用sha256认证，但前提是数据库初始化时已设置password_encryption_type = 1（对应sha256），且用户密码是用该模式重新设置的。如果直接在旧实例上改pg_hba.conf加sha256行，而没重置密码，navicat仍会收到“authentication failed”错误——因为服务端实际存储的是md5哈希，无法用sha256比对。
验证方式：用gsql连上后执行：
SELECT rolname, rolpassword FROM pg_authid WHERE rolname = 'your_user';若结果中
rolpassword以md5开头，说明仍是MD5加密；若为sha256开头，才真正启用SHA256。
- 初始化时未指定
password_encryption_type，默认值取决于版本：3.0之前多为0（MD5），3.0+默认1（SHA256） - 修改
postgresql.conf中的password_encryption_type = 1后，必须用ALTER USER ... PASSWORD重设密码才生效，仅重启服务不够 - Docker部署（如
enmotech/opengauss:3.0.0）通常已预设SHA256，但自建RPM安装可能仍为MD5
pg_hba.conf中host all all 0.0.0.0/0 sha256这行怎么写才有效
这行本身语法正确，但实际生效受三个条件制约：IP段匹配、用户存在、且该用户密码已按SHA256加密存储。常见失效场景包括：
- 把
0.0.0.0/0写成0.0.0.0/32或漏掉/0，导致只匹配本机回环 - 把
sha256拼错为sha-256、sha256()或大小写混用（必须全小写） - 该规则被上面更精确的规则覆盖——
pg_hba.conf按顺序从上到下匹配，若已有host all all 127.0.0.1/32 reject在它前面，就会直接拒绝 - 未注释或删除原有
local all all trust之后的host ... md5行，造成逻辑冲突（虽不报错，但可能误用旧规则）
推荐写法（放在pg_hba.conf末尾、所有host规则之后）：
host all all 0.0.0.0/0 sha256
Navicat连接时提示“server does not support password encryption”
这是典型客户端协议协商失败：Navicat发了密码，但OpenGauss返回“不支持加密”，本质是服务端没开启SSL或密码传输通道未加密，而SHA256要求密码必须走加密通道（否则明文传SHA256密钥等于裸奔）。解决路径很明确：
- 检查
postgresql.conf中ssl = on是否启用，且ssl_cert_file、ssl_key_file路径正确（Docker镜像常自带自签名证书，路径多为/var/lib/opengauss/data/server.crt） - 若不想配SSL，就别用
sha256——直接切回md5，并确保password_encryption_type = 0，再用ALTER USER ... PASSWORD重设密码 - Navicat连接参数里勾选
Use SSL（高级选项页），协议选require或verify-ca，不能留空
注意：sha256认证强制依赖SSL，这是OpenGauss的设计约束，不是Navicat兼容性问题。
为什么改完配置重启还是连不上？重点检查这三个地方
90%的“改了没用”问题出在配置未真正加载或权限未刷新：
- 执行
gs_ctl reload -D /var/lib/opengauss/data（非restart）——pg_hba.conf变更只需reload，重启反而容易因依赖未就绪失败 - 确认操作用户是
omm（非root），且修改的pg_hba.conf路径确实是当前实例使用的那个（多实例时易混淆，可用gs_guc check -D /path -c "hba_file"验证） - 防火墙是否放行了端口？OpenGauss默认端口是
5432或26000，但firewall-cmd --list-ports可能显示为空，需显式添加：firewall-cmd --add-port=26000/tcp --permanent && firewall-cmd --reload
最后提醒：SHA256虽更安全，但在开发环境若只图快速连通，md5 + listen_addresses = '*' + 精确IP段限制，反而更稳定、排障路径更短。
