PostgreSQL用户登录失败自动锁定的处理方案

墨墨导读：PostgreSQL使用session_exec插件实现用户密码验证失败几次后自动锁定，本文介绍一种处理方案。
一、插件session_exec安装配置篇
下载插件并编译安装。
https://github.com/okbob/session_exec
$ unzip session_exec-master.zip
$ cd session_exec-master/
$ make pg_config=/opt/pgsql/bin/pg_config
$ make pg_config=/opt/pgsql/bin/pg_config install

配置postgresql.conf 。
session_preload_libraries=’session_exec’
session_exec.login_name=’login’

注意：上面第一个变量是设置session_preload_libraries而不是通常设置的shared_preload_libraries 。
第二个变量是需要自定义实现的登录函数。
重启数据库服务。
1$ sudo systemctl restart postgresql-12
二、自定义登录函数篇
创建t_login表用于存储提取自数据库日志中登录失败的信息。
create table t_login
(
login_time timestamp(3) with time zone –插入时间,
user_name text –数据库登录用户,
flag int4 –标志位，0代表过期数据，1代表正常状态数据
);

使用file_fdw外部表记录数据库日志信息。
file_fdw如果未配置过，参见下面步骤。
$ cd /opt/postgresql-12.5/contrib/file_fdw
$ make && make install
create extension file_fdw;
CREATE SERVER pglog FOREIGN DATA WRAPPER file_fdw;

建立外部表postgres_log，关联数据库日志中登录失败的信息。
CREATE FOREIGN TABLE postgres_log(
log_time timestamp(3) with time zone,
user_name text,
database_name text,
process_id integer,
connection_from text,
session_id text,
session_line_num bigint,
command_tag text,
session_start_time timestamp with time zone,
virtual_transaction_id text,
transaction_id bigint,
error_severity text,
sql_state_code text,
message text,
detail text,
hint text,
internal_query text,
internal_query_pos integer,
context text,
query text,
query_pos integer,
location text,
application_name text
) SERVER pglog
OPTIONS ( program ‘find /opt/pg_log_5432 -type f -name “*.csv” -mtime -1 -exec cat {} \;’, format ‘csv’ );

注意：
1./opt/pg_log_5432需要修改为实际环境日志目录。
2. 不同PG版本csv日志格式可能有所差异，参考PG官网文档runtime-config-logging章节（http://postgres.cn/docs/12/runtime-config-logging.html）。
此时连接数据库因未创建登录函数会出现下面的警告信息。
$ psql -Upostgres
WARNING: function “login()” does not exist
psql (12.5)
Type “help” for help.

创建登录函数login 。
create or replace function login() returns void as $$
declare
res text;
c1 timestamp(3) with time zone;
begin
–获取当前日志中最新时间
select login_time
from public.t_login
where flag = 0
order by login_time
desc limit 1
into c1;
–将最新的数据插入t_login表
insert into public.t_login
select log_time,user_name
from public.postgres_log
where command_tag=’authentication’
and error_severity= ‘FATAL’
and log_time > c1;
update public.t_login set flag = 1 where login_time > c1;
–检查登录失败次数是否大于3，若大于3则锁定用户
for res in select user_name from public.t_login where flag = 1 group by user_name having count(*) >=3