SASL是面向连接的协议中用于认证的框架。目前，PostgreSQL实现了两种SASL认证机制，SCRAM-SHA-256和SCRAM-SHA-256-PLUS。将来可能会添加更多。下面的步骤说明了SASL认证的一般执行过程，而下一小节将更详细地介绍SCRAM-SHA-256和SCRAM-SHA-256-PLUS。
SASL认证消息流
要开始一个SASL认证交换，服务器发送一个AuthenticationSASL消息。它包括服务器可以接受的SASL认证机制列表，按照服务器的首选顺序排列。
客户端从列表中选择一个支持的机制，并向服务器发送一个SASLInitialResponse消息。 该消息包括所选机制的名称，以及如果所选机制使用的话，还包括一个可选的初始客户端响应。
一个或多个服务器挑战和客户端响应消息将随后而来。每个服务器挑战都是在一个 AuthenticationSASLContinue 消息中发送的，随后是客户端在一个 SASLResponse 消息中的响应。这些消息的具体内容是特定于机制的。
最后，当认证交换成功完成时，服务器发送一个AuthenticationSASLFinal消息，紧接着是一个AuthenticationOk消息。 AuthenticationSASLFinal包含额外的服务器到客户端的数据，其内容特定于所选的认证机制。 如果认证机制不使用在完成时发送的额外数据，那么AuthenticationSASLFinal消息就不会被发送。
在错误情况下，服务器可以在任何阶段中止认证，并发送一个ErrorMessage。
目前实现的SASL机制是SCRAM-SHA-256及其带有通道绑定的变体
SCRAM-SHA-256-PLUS。它们在
RFC 7677
和RFC 5802中有详细描述。
当在PostgreSQL中使用SCRAM-SHA-256时，服务器将忽略客户端在client-first-message中发送的用户名。
而是使用已经在启动消息中发送的用户名。
PostgreSQL支持多种字符编码，而SCRAM规定用户名必须使用UTF-8，因此可能无法用UTF-8表示PostgreSQL用户名。
SCRAM规范规定密码也必须是UTF-8编码，并且使用SASLprep算法处理。 然而，PostgreSQL不要求密码必须使用UTF-8编码。 当用户设置密码时，无论实际使用的编码是什么，都会像使用UTF-8一样使用SASLprep进行处理。 但是，如果密码不是合法的UTF-8字节序列，或者包含SASLprep算法禁止的UTF-8字节序列， 则会使用原始密码而不进行SASLprep处理，而不是抛出错误。这样可以在密码为UTF-8时对其进行规范化， 但仍允许使用非UTF-8密码，并且不需要系统知道密码使用的编码方式。
通道绑定在支持SSL的PostgreSQL构建中受支持。带有通道绑定的SCRAM的SASL机制名称是
SCRAM-SHA-256-PLUS。PostgreSQL使用的通道绑定类型是
tls-server-end-point。
在没有通道绑定的SCRAM中，服务器选择一个随机数， 传输给客户端，与用户提供的密码在传输的密码哈希中混合。虽然这可以 防止密码哈希在后续会话中被成功重新传输，但无法阻止真实服务器和客 户端之间的虚假服务器通过服务器的随机值并成功进行身份验证。
SCRAM与通道绑定一起防止这种中间人攻击，通过将服务器证书的签名混合到传输的密码哈希中。 虽然伪造服务器可以重新传输真实服务器的证书，但它无法访问与该证书匹配的私钥，因此无法证明自己是所有者，导致SSL连接失败。
示例
服务器发送一个AuthenticationSASL消息。它包括服务器可以接受的SASL认证机制列表。
如果服务器构建时支持SSL，这将是SCRAM-SHA-256-PLUS和SCRAM-SHA-256，
否则只是后者。
客户端通过发送SASLInitialResponse消息做出响应，该消息指示选择的机制，SCRAM-SHA-256或SCRAM-SHA-256-PLUS。
（客户端可以自由选择任一机制，但为了更好的安全性，如果支持的话应选择通道绑定变体。）
在初始客户端响应字段中，消息包含SCRAM client-first-message。
client-first-message还包含客户端选择的通道绑定类型。
服务器发送一个AuthenticationSASLContinue消息，其中包含一个server-first-message作为内容。
客户端发送一个SASLResponse消息，其中包含SCRAM
client-final-message作为内容。
服务器发送一个AuthenticationSASLFinal消息，带有SCRAM
server-final-message，紧接着是一个AuthenticationOk消息。