ClickHouse 命令行能连接，Python HTTPDriver 却报 400：转发到了原生端口

Kubernetes 端口转发后，clickhouse client 能连接，Python 的 clickhouse_connect.get_client 却在初始化时返回 HTTPDriver 与 response code 400。先检查本地端口实际转发到哪个服务端端口：命令行客户端使用的原生协议与 clickhouse-connect 使用的 HTTP 接口不同。

如果响应内容提示 Port 9000 is for clickhouse-client program、You must use port 8123 for HTTP，就已经有明确的协议入口线索。仅看到 400 时仍需结合响应内容和实际端口映射判断，不能把所有 400 都归为端口错误。

本地端口号不能说明远端协议

例如本机 21212 转发到 Pod 的 9000，原生客户端可能正常，HTTP 驱动却不能因此使用它。本地选了一个不常见数字，不会改变远端服务的协议。

查看当前端口转发目标、Pod 或 Service 的端口定义以及 ClickHouse 实际监听配置。Service 自身端口和 targetPort 可能不同，必须一直对照到服务端接收请求的位置。还应确认不是另一个进程或旧转发占用了本地端口。

ClickHouse 常见默认 HTTP 端口是 8123，HTTPS 可启用在 8443；9000 通常是原生客户端端口。部署可以修改这些值，应以当前实例配置为准，而不是只凭默认数字猜测。

clickhouse-connect 的 secure 选项决定 HTTP 与 HTTPS，不能把 HTTP 驱动变成原生协议驱动。对原生端口反复切换 secure，仍未修正服务入口。

将 HTTP 驱动对应到 HTTP 服务

以下是本地受控诊断的端口转发结构示例。它假定目标 Pod 的 HTTP 服务确实监听 8123，namespace、Pod 名和本地端口都需替换成实际值：

kubectl --namespace example port-forward \
  --address 127.0.0.1 pod/clickhouse-0 21212:8123

这会启动本机监听并占用当前终端，结束该转发可以按 Ctrl+C。保留原转发记录，避免同时启动两条占用同一本地端口的任务；需要原生客户端诊断时，可以使用另一条独立且明确的转发。

示例限制在回环地址，不需要为了 Python 连接将数据库转发暴露给整个网络。正式入口使用 HTTPS 时，应继续使用实际 HTTPS 服务与正确的证书验证配置，不把改成明文当作普遍修复。

针对上述本机 HTTP 转发，可按以下局部 Python 示例建立连接。凭据从既有环境配置读取，不写进代码或日志：

import os
import clickhouse_connect

client = clickhouse_connect.get_client(
    host="127.0.0.1",
    port=21212,
    username=os.environ["CH_USER"],
    password=os.environ["CH_PASSWORD"],
    secure=False,
)

try:
    result = client.command("SELECT version(), timezone()")
finally:
    client.close()

secure=False 仅对应已确认的本地明文 HTTP 入口，不适用于要求 HTTPS 的远程端点。环境变量名称是示例，应用应沿用自己的凭据管理方式。查询只读取版本与时区，但这些内部信息仍应按诊断资料保管。

协议对齐以后，再解释新的错误

若新响应是认证失败，核对实际用户、密码、数据库和授权。若是 TLS 名称或信任链错误，检查 HTTPS 入口与可信 CA；不能通过关闭验证来把错误隐藏掉。

如果原来的简短 400 没有显示响应体，应保留驱动版本、目标地址和不含凭据的错误信息，再核对服务端或代理日志。升级受支持驱动可能改善错误信息，但不会自动修正错误的端口映射。

端口已经正确而 400 仍存在时，继续检查请求是否经过非 ClickHouse 的 HTTP 服务或代理，以及它返回的具体内容。不要先给数据库用户增加管理员权限，也不要重建数据库来排查连接协议。

回到应用实际入口验收

修改前保存连接设置与端口转发目标。验收先确认 HTTP 驱动连到正确实例，原初始化或获准的只读查询能够完成，再检查应用使用的数据库与业务查询。

原生客户端成功、HTTP 健康响应正常和应用认证成功各自证明不同阶段；一个阶段通过不能替代其他检查。停止临时转发后，依赖该入口的本地连接会中断，不应把这条临时命令当成正式部署的连接方式。

需要回退时恢复原连接配置与转发映射，关闭本次临时监听。仅调整端口不应产生业务写入；若验收随后运行过写操作，相关数据应按实际操作记录另行处理。