mysql云端迁移后连接被拒绝，大概率是未配置ssl/tls：云厂商如阿里云rds、腾讯云cdb、aws rds默认强制启用ssl，客户端须显式设置ssl-mode=required并正确加载ca证书，否则静默降级为明文连接。
MySQL云端迁移后连接被拒绝，是不是没开SSL？
很多用户把数据库导到云上，应用一连就报 ERROR 2003 (HY000): Can't connect to MySQL server 或直接超时，第一反应是防火墙，其实更大概率是云服务商默认禁用非加密连接。像阿里云RDS、腾讯云CDB、AWS RDS都强制要求新实例启用SSL/TLS（部分区域甚至不允许关闭），但客户端不配ssl-mode=REQUIRED就会静默断连。
实操建议：
- 先确认云实例是否启用SSL：登录控制台查“SSL加密”开关，或执行
SHOW VARIABLES LIKE 'have_ssl';，返回YES才算真正启用 - 别只看服务端配置——客户端必须显式声明，例如用
mysql命令行连时加参数：--ssl-mode=REQUIRED，否则即使服务端支持，也会走明文通道 - 云厂商提供的根证书（如
rds-ca-2019.pem）必须本地可读，且路径不能有空格或中文，否则mysql会静默忽略SSL选项
应用代码里怎么安全传参给MySQL驱动？
硬编码ssl-mode=REQUIRED在URL里看似简单，但Java的mysql-connector-java、Python的pymysql、Go的go-sql-driver/mysql对SSL参数的解析逻辑差异很大，稍不注意就退化成明文连接。
常见错误现象：
- Java用
useSSL=true&requireSSL=true，但新版驱动已弃用useSSL，必须改用sslMode=REQUIRED - Python用
pymysql.connect(..., ssl={'ca': '/path/to/ca.pem'})，但漏掉ssl_disabled=False（旧版）或没设ssl={'fake_flag_to_enable_ssl': True}（某些版本bug） - Node.js的
mysql2必须传ssl: { rejectUnauthorized: true }，设成false等于白配
关键点：所有驱动都要求「服务端证书校验」开启，否则中间人攻击无法防御。云厂商CA证书必须下载后本地加载，不能靠系统信任库自动识别。
数据落盘加密要不要开？影响有多大？
云数据库的透明数据加密（TDE）比如AWS RDS的Encryption at rest、阿里云的存储加密，不是锦上添花，而是合规刚需——尤其涉及身份证、手机号等字段时，不开可能违反《个人信息保护法》第51条。
但别盲目全开：
- 加密只作用于物理文件（ibd、log等），不影响SQL层逻辑，也不替代字段级加密
- 开启后首次备份/恢复会明显变慢，后续影响不大；但高IO负载下，AES-NI指令集缺失的旧CPU可能增加3%~5%延迟
- 密钥管理必须用云KMS（如AWS KMS、阿里云KMS），绝不能用自定义密钥硬编码在配置里——否则密钥轮换时整个实例不可用
注意：TDE和SSL是两层事。开了TDE不代表网络传输也加密，该配SSL还得配。
迁移后发现查询变慢，是不是加密拖累了性能？
大概率不是。SSL握手开销只发生在连接建立阶段，TDE对单次查询影响微乎其微。真卡住，八成是迁移时漏了索引或统计信息没更新。
排查优先级：
- 执行
ANALYZE TABLE强制刷新表统计信息，云环境因存储分离，INFORMATION_SCHEMA的行数常不准 - 检查执行计划是否用了全表扫描：
EXPLAIN FORMAT=TRADITIONAL SELECT ...，重点看type列是不是ALL - 云数据库的慢日志阈值常设为1秒，但实际业务敏感点可能在100ms，需调低
long_query_time再抓样本
加密本身不会让SELECT * FROM user WHERE id = 123变慢，但如果你在WHERE里对加密字段做了函数操作（比如WHERE AES_DECRYPT(phone, 'key') = '138...' ），那就另当别论了——这种设计本身就有问题。
