mysql如何配置SSL加密连接_生成自签名证书与修改服务端配置文件-mysql教程-PHP中文网

mysql 5.7/8.0生成自签名ssl证书需用openssl依次生成ca根证书、服务端私钥与csr，并用ca签发server.crt，cn须匹配客户端访问的ip或域名；证书文件须放mysql可读目录（如/etc/mysql/ssl/），属主mysql:mysql、权限600；my.cnf中在[mysqld]段配置ssl_ca、ssl_cert、ssl_key绝对路径及require_secure_transport=on，重启mysqld后执行show variables like 'have_ssl'验证是否为yes。

mysql如何配置ssl加密连接_生成自签名证书与修改服务端配置文件

MySQL 5.7/8.0 怎么生成自签名 SSL 证书

生产环境应使用 CA 签发证书，但开发、测试或内网部署时，用 openssl 自签一套够用——关键是路径、权限和 Common Name（CN）要对。

CA 根证书只需一份：openssl req -newkey rsa:2048 -nodes -keyout ca.key -out ca.csr -subj "/C=CN/ST=Beijing/L=Beijing/O=Dev/CN=localhost"，再 openssl x509 -req -days 3650 -in ca.csr -signkey ca.key -out ca.crt
服务端证书的 CN 必须匹配客户端连接时用的 host（比如 192.168.1.100 或 mysql.example.com），否则客户端会报 certificate verify failed
生成完后，ca.crt、server.crt、server.key 三个文件需放在 MySQL 可读目录（如 /etc/mysql/ssl/），且属主设为 mysql:mysql，权限设为 600（尤其 server.key）

my.cnf 里怎么配 SSL 参数才生效

MySQL 启动时只读一次配置，改完必须重启；且参数名在 5.7 和 8.0 中基本一致，但 8.0 对 TLS 版本控制更细。

Pandas 配置文件报告生成器

使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。

下载

在 [mysqld] 段下加：

ssl_ca = /etc/mysql/ssl/ca.crt
ssl_cert = /etc/mysql/ssl/server.crt
ssl_key = /etc/mysql/ssl/server.key
require_secure_transport = ON

require_secure_transport = ON 是强制所有连接走 SSL 的开关，不加它，用户仍可用 --ssl-mode=DISABLED 绕过
MySQL 8.0 还可加 tls_version = TLSv1.2,TLSv1.3 显式限制协议版本；5.7 不支持该参数，只认 TLSv1.2
配完务必执行 mysql -e "SHOW VARIABLES LIKE 'have_ssl';"，输出 YES 才算加载成功；若为 DISABLED，大概率是文件路径错、权限不足或证书格式损坏

客户端连不上 SSL，常见报错和绕过方式

不是证书配了服务端就自动“加密”，客户端也得明确表态；很多 ORM 或旧驱动默认不启 SSL，容易卡在握手阶段。

报错 SSL connection error: protocol version mismatch：客户端 TLS 版本低于服务端最低要求，比如服务端只开 TLSv1.3，而 Python mysql-connector-python 旧版不支持
报错 Access denied for user ... (using password: YES)：用户没被要求 SSL，但服务端开了 require_secure_transport，此时需先 ALTER USER 'u'@'%' REQUIRE SSL;
临时调试可加 --ssl-mode=REQUIRED（MySQL 5.7+）或 --ssl=1（旧版），但生产环境别依赖这个参数，应由应用层统一控制
Java 应用若报 javax.net.ssl.SSLHandshakeException，通常是因为没把 ca.crt 导入 JVM truststore，或 URL 里漏了 &useSSL=true&serverSslCert=...&trustCertificateKeyStoreUrl=...

SSL 开启后性能掉多少？哪些地方最拖慢

实测连接建立耗时翻倍是常态，但查询本身几乎不受影响——瓶颈全在 TLS 握手环节。

短连接场景（如 PHP-FPM 每次请求新建连接）性能下降可达 25% 以上；长连接或连接池（如 HikariCP、mysqlclient 的 pool）能压到 5% 以内
SSL 开销集中在 TCP 建立后的密钥交换和证书验证，后续数据传输加密成本很低；所以不要在循环里反复 mysql_connect()
MySQL 8.0 的 caching_sha2_password 插件 + SSL 双重握手会进一步放大延迟，若无法升级驱动，建议搭配 mysql_native_password 使用（ALTER USER ... IDENTIFIED WITH mysql_native_password）

真正麻烦的从来不是生成那几个文件，而是证书 CN 和客户端 host 字符串必须完全一致，连多一个空格、少一个端口都可能让 ssl_mode=VERIFY_IDENTITY 直接失败。