MySQL服务端开启SSL需满足五条件：1.编译支持SSL（have_ssl=YES）；2.OpenSSL库可用；3.证书由同一CA签发且私钥无密码；4.my.cnf中ssl-ca/ssl-cert/ssl-key全指定且权限严格；5.require_secure_transport=ON。
MySQL 服务端开启 SSL 的必要条件
MySQL 要支持 SSL 连接，不是加个配置就完事——必须先确认服务器已编译支持 SSL（have_ssl 值为 YES），且 OpenSSL 库可用。很多 Docker 镜像或精简版二进制包默认禁用 SSL 支持。
- 执行
SHOW VARIABLES LIKE 'have_ssl';，若返回DISABLED或NO，得换包或重编译，改配置无效 -
openssl version在 MySQL 服务器所在机器上必须能运行，否则mysqld启动时加载证书会失败，日志里报SSL error: Unable to get certificate from file - 证书文件（
ca.pem、server-cert.pem、server-key.pem）需由同一套 CA 签发，且server-key.pem不能带密码（MySQL 不支持读取带密码的私钥）
my.cnf 中 SSL 相关参数怎么填才生效
只写 ssl-ca 不够，MySQL 要求三者（CA、server cert、server key）路径全指定，且权限必须严格：证书目录和文件只能被 mysqld 进程用户（通常是 mysql）读取，其他用户不可写、不可执行。
-
ssl-ca：指向根 CA 证书（如/etc/mysql/ssl/ca.pem） -
ssl-cert：指向服务器证书（如/etc/mysql/ssl/server-cert.pem） -
ssl-key：指向服务器私钥（如/etc/mysql/ssl/server-key.pem） - 别漏掉
require_secure_transport = ON（MySQL 5.7.17+），否则客户端仍可走非加密连接 - 重启后查
SHOW STATUS LIKE 'Ssl_version';，有输出说明 SSL 已启用；空值代表没生效
客户端连接时强制走 SSL 的三种方式
服务端开了 SSL，不代表客户端自动加密——它默认仍走明文。必须显式要求加密，否则中间人攻击风险仍在。
- 命令行用
mysql -u user -p --ssl-mode=REQUIRED（MySQL 8.0+ 推荐）或旧版--ssl - 应用代码里（如 Python PyMySQL）要传
ssl={'ca': '/path/to/ca.pem'}，只设ssl=True会跳过证书校验，失去防中间人意义 - 连接字符串中加
?ssl-mode=REQUIRED&ssl-ca=/path/to/ca.pem（JDBC、Go mysql driver 等通用） - 注意：如果客户端不提供 CA 文件，
--ssl-mode=VERIFY_CA或VERIFY_IDENTITY会直接拒绝连接，不是警告
常见连不上 SSL 的错误和定位方法
报错信息看着像网络问题，其实八成是证书或配置链断了。优先看 MySQL 错误日志（log_error 指定路径），不是客户端报错。
-
SSL connection error: protocol version mismatch→ 客户端和服务端 OpenSSL 版本差异过大，比如服务端用 OpenSSL 3，客户端用太老的 libssl -
Access denied for user ... (using password: YES)且启用了require_secure_transport→ 实际是连接未加密被拒，不是密码错 -
ERROR 2026 (HY000): SSL connection error: unknown error number→ 大概率私钥格式不对（比如 PEM 里多了空格、用了 PKCS#8 格式但 MySQL 只认传统 PKCS#1）、或文件路径权限不对（ls -l看属主和 mode） - 用
openssl s_client -connect host:3306 -servername your-hostname手动测 TLS 握手，比盲试客户端更准
证书有效期、主机名匹配、OpenSSL 版本兼容性这些点，部署时容易扫一眼就过，等出问题再查就得翻日志逐行比对——不如初始化时就用 openssl x509 -in server-cert.pem -text -noout 确认 CN 和 SAN 是否覆盖实际访问域名。
