MongoDB不支持通过SIGUSR1重载SSL证书，该信号仅触发日志轮转；TLS配置需重启mongod生效，自建实例无热更新机制，云服务调用ModifyDBInstanceSSL也会导致实例重启。
不能直接用 SIGUSR1 让 MongoDB 重载 SSL 证书。MongoDB 官方不支持通过信号热更新证书，SIGUSR1 在 MongoDB 中实际用于触发日志轮转（log rotation），和证书完全无关。
为什么 SIGUSR1 不起作用？
MongoDB 的进程模型不监听 SIGUSR1 来重读 TLS 配置。即使你手动发送该信号：
kill -SIGUSR1 $(pidof mongod)
只会让 mongod 切换日志文件（如果启用了日志轮转），不会重新加载 sslPEMKeyFile、sslCAFile 等配置项。证书仍沿用启动时加载的旧文件内容。
ModifyDBInstanceSSL 是唯一可控的更新方式
阿里云/腾讯云等托管 MongoDB 实例（如阿里云 MongoDB 版）提供 ModifyDBInstanceSSL 接口，但注意：
- 调用后实例会重启一次（文档明确写“在开通、更新和关闭 SSL 过程中，实例会重启一次”）
- 仅适用于云厂商托管实例，不适用于自建 mongod 进程
-
Update操作类型 ≠ 热更新，而是服务端主动 reload + 重启流程
自建 MongoDB 能否不重启更新证书？
不能。mongod 启动后，TLS 上下文（包括私钥、证书、CA）一次性加载进内存，后续不监控文件变更，也不提供运行时重载机制。验证方式：
- 修改
sslPEMKeyFile指向的新证书，不重启 mongod → 连接仍用旧证书，新客户端用新 CA 也无法握手成功 - 尝试
db.adminCommand({setParameter: 1, sslMode: "requireSSL"})→ 报错 “not authorized” 或无效，SSL 配置项不可动态修改 - 查看
mongod --help输出，无任何 reload / refresh / hot-reload 类参数
真正可行的折中方案
如果业务无法接受停机，只能绕开 mongod 自身限制：
- 前置反向代理（如 Nginx、HAProxy）终止 TLS：把 HTTPS/SSL 卸载到代理层，mongod 只跑明文或内网 TLS；更新证书只需 reload 代理（
nginx -s reload） - 使用连接池中间件（如 Mongos、Sharding Router）做 TLS 终结，后端 mongod 不直面公网
- 滚动替换：多节点副本集里逐台停机更新，靠主从切换维持可用性（需确保写关注
w:majority不中断）
所有方案都回避不了“证书生效必须伴随某处进程重载或重启”这一事实——只是把重启点从 mongod 移到了代理或路由层。
