根據(jù) PostgreSQL 代碼倉庫的最新動態(tài)，近日有維護(hù)者提交了“棄用 MD5 密碼支持”的 commit。

該維護(hù)者指出，MD5 被認(rèn)為不適合用作加密散列算法已有一段時間。

此外，PostgreSQL 中的 MD5 密碼散列很容易受到傳遞散列攻擊，即知道用戶名和散列密碼就足以進(jìn)行身份驗證。v10 中添加的 SCRAM-SHA-256 方法不存在這些問題，被認(rèn)為優(yōu)于 MD5。

根據(jù)討論，本次 commit 將 PostgreSQL 中的 MD5 密碼支持標(biāo)記為棄用，并將在未來的版本中刪除。

現(xiàn)在，文檔中包含了多個棄用通知，而 CREATE ROLE 和 ALTER ROLE 在設(shè)置 MD5 密碼時也會發(fā)出棄用警告。用戶可以通過將 md5_password_warnings 參數(shù)設(shè)置為 "off" 來禁用這些警告。

這可能是 PostgreSQL 18 明確告知 MD5 密碼支持已過時并將在未來移除的程度。PostgreSQL 19 將支持使用 MD5 密碼升級，并允許使用它們進(jìn)行身份驗證，但禁止創(chuàng)建新密碼。

之后，PostgreSQL 20 將禁止使用 MD5 密碼進(jìn)行驗證。

最后，在 PostgreSQL 21 中，將禁止使用 MD5 密碼升級，并且 PostgreSQL 內(nèi)部將不再提供 MD5 密碼支持。因此，如果出于某種原因需要，PostgreSQL 中的 MD5 密碼支持仍將存在數(shù)年，但現(xiàn)在已被正式棄用，移除路徑也已啟動。