需要SSL，保持SELinux处于打开状态，监视日志并使用当前的PostgreSQL版本。
服务器端
需要SSL
在postgresql.conf集ssl=on，并确保你有你的密钥文件和certFile中适当地安装（请参阅该文档，并在注释postgresql.conf）。
如果想让客户端信任证书而无需在客户端上进行特殊设置，则可能需要从CA购买证书。
在pg_hba.conf使用这样的：
hostssl theuser thedatabase 1.2.3.4/32 md5
...对于用户和/或数据库，可能带有“全部”，并且可能具有更宽泛的源IP地址过滤器。
限制可以登录的用户，拒绝远程超级用户登录
如果可能，不允许用户使用“全部”；您可以避免超级用户远程登录，如果您可以避免的话。
限制用户权利
限制用户（一个或多个），可以登录的权利。不要给他们CREATEDB或CREATEUSER权利。
REVOKE您可以访问所有数据库上的CONNECT权限PUBLIC，然后仅将其返回给应该能够访问该数据库的用户/角色。（将用户分组为角色，并授予角色权限，而不是直接授予单个用户）。
确保具有远程访问权限的用户只能连接到他们需要的数据库，并且仅拥有他们实际需要的架构，表和列的权限。这对于本地用户也是一个好习惯，这只是合理的安全性。
客户端设置
在PgJDBC中，传递参数ssl=true：
要指示JDBC驱动程序尝试建立SSL连接，必须添加连接URL参数ssl = true。
...，然后将服务器证书安装在客户端的信任库中，或者如果您不想用户安装证书，请使用Java内置信任库中的一个CA信任的服务器证书。
正在进行的行动
现在确保您保持PostgreSQL为最新。PostgreSQL只有几个预身份验证安全漏洞，但是不止于此，所以请保持最新状态。无论如何，您都应该修正错误，这是很不错的事情。
如果您知道不需要访问大型网络块/区域，请在前面添加防火墙。
记录连接和断开连接（请参阅参考资料postgresql.conf）。如果可行，记录查询。如果可行，请运行入侵检测系统或fail2ban或类似的设备。对于在Postgres的fail2ban，有一个方便的操作方法在这里
监视日志文件。
奖金偏执狂
要考虑的额外步骤...
要求客户证书
如果需要，还可以pg_hba.conf用于要求客户端出示服务器信任的X.509客户端证书。它不需要使用与服务器证书相同的CA，您可以使用自制的openssl CA来执行此操作。JDBC用户需要使用来将客户端证书导入到其Java密钥库中，keytool并可能配置一些JSSE系统属性以将Java指向其密钥库，因此它不是完全透明的。
隔离实例
如果您想真正地偏执，请在单独的容器/ VM中或至少在不同的用户帐户下运行客户端实例，并仅使用它们所需的数据库。
这样，如果他们危及PostgreSQL实例，他们将一无所获。
使用SELinux
我不必这么说，但是...
运行支持SELinux的计算机，例如RHEL 6或7，请勿关闭SELinux或将其设置为许可模式。使其处于强制模式。
使用非默认端口
仅凭一无所知的安全就是愚蠢。完成明智的操作后，使用一点点晦涩的安全性可能不会受到伤害。
在非默认端口上运行Pg会使自动攻击者的生活更加艰难。
放在代理前面
您还可以在PostgreSQL之前运行PgBouncer或PgPool-II，充当连接池和代理。这样，您可以让代理处理SSL，而不是真正的数据库主机。代理可以位于单独的VM或计算机上。
无论如何，使用连接池代理通常是PostgreSQL的一个好主意，除非客户端应用程序已经具有内置池。大多数Java应用程序服务器，Rails等都具有内置池。即使这样，服务器端池代理在最坏的情况下也是无害的。