根據(jù) PostgreSQL 代碼倉(cāng)庫(kù)的最新動(dòng)態(tài)，近日有維護(hù)者提交了“棄用 MD5 密碼支持”的 commit。

該維護(hù)者指出，MD5 被認(rèn)為不適合用作加密散列算法已有一段時(shí)間。

此外，PostgreSQL 中的 MD5 密碼散列很容易受到傳遞散列攻擊，即知道用戶(hù)名和散列密碼就足以進(jìn)行身份驗(yàn)證。v10 中添加的 SCRAM-SHA-256 方法不存在這些問(wèn)題，被認(rèn)為優(yōu)于 MD5。

根據(jù)討論，本次 commit 將 PostgreSQL 中的 MD5 密碼支持標(biāo)記為棄用，并將在未來(lái)的版本中刪除。

現(xiàn)在，文檔中包含了多個(gè)棄用通知，而 CREATE ROLE 和 ALTER ROLE 在設(shè)置 MD5 密碼時(shí)也會(huì)發(fā)出棄用警告。用戶(hù)可以通過(guò)將 md5_password_warnings 參數(shù)設(shè)置為 "off" 來(lái)禁用這些警告。

這可能是 PostgreSQL 18 明確告知 MD5 密碼支持已過(guò)時(shí)并將在未來(lái)移除的程度。PostgreSQL 19 將支持使用 MD5 密碼升級(jí)，并允許使用它們進(jìn)行身份驗(yàn)證，但禁止創(chuàng)建新密碼。

之后，PostgreSQL 20 將禁止使用 MD5 密碼進(jìn)行驗(yàn)證。

最后，在 PostgreSQL 21 中，將禁止使用 MD5 密碼升級(jí)，并且 PostgreSQL 內(nèi)部將不再提供 MD5 密碼支持。因此，如果出于某種原因需要，PostgreSQL 中的 MD5 密碼支持仍將存在數(shù)年，但現(xiàn)在已被正式棄用，移除路徑也已啟動(dòng)。