mysql如何使用SSL加密提升权限安全_MySQL SSL连接权限配置-mysql教程-PHP中文网

mysql客户端ssl协议版本不匹配需统一tls版本，服务端检查tls_version，客户端显式指定tlsv1.2；require ssl需配合--ssl-mode=required测试；openssl s_client验证证书链；php mysqli须绝对路径设ssl参数并启用mysqli_client_ssl。

mysql如何使用ssl加密提升权限安全_mysql ssl连接权限配置

MySQL客户端连接报错 `SSL connection error: protocol version mismatch` 怎么办

这是服务端和客户端 SSL 协议版本不兼容的典型表现，不是证书没配对，而是握手阶段就失败了。MySQL 5.7+ 默认启用 TLSv1.2，但旧版客户端（比如 MySQL 5.6 客户端或某些 Python mysql-connector-python 低版本）可能只支持 TLSv1.0。

检查服务端支持的协议：SHOW VARIABLES LIKE 'tls_version';，常见值是 'TLSv1.2,TLSv1.3'
客户端连接时显式指定协议：加参数 --ssl-mode=REQUIRED --tls-version=TLSv1.2（MySQL 8.0+ CLI）
Python 中用 mysql.connector.connect(..., tls_versions=['TLSv1.2'])，别依赖默认值
Java 的 mysql-connector-j 需在 URL 加 &enabledTLSProtocols=TLSv1.2，否则可能 fallback 到不安全协议

为什么 `GRANT ... REQUIRE SSL` 后用户仍能非加密登录

因为 MySQL 的 REQUIRE SSL 只在认证阶段强制加密通道，但不阻止客户端主动降级——只要连接时没带 --ssl-mode 或等效参数，MySQL 服务端不会主动中断明文连接，而是让认证失败（错误码 HY000: SSL is required）。实际中很多人没看到这个错误，是因为客户端自动重试了非 SSL 模式。

确认用户权限是否生效：SELECT user, host, ssl_type FROM mysql.user WHERE user = 'xxx';，ssl_type 应为 ANY 或 X509
测试必须用明确禁用 SSL 的方式触发失败：mysql -u xxx -p --ssl-mode=DISABLED，此时应报错 Access denied for user ... (using password: YES)
注意：如果用户同时有多个 host 条目（如 'user'@'%' 和 'user'@'localhost'），localhost 默认走 socket 连接，绕过网络层和 SSL 检查

用 `openssl s_client` 验证 MySQL 服务端证书是否可被信任

别只信客户端日志里的 “SSL enabled”，得从 TCP 层确认服务端真实下发的证书链和协议协商结果。这是排查中间人、自签名证书未导入、CA 路径错误等问题最直接的方式。

SSL

配置HTTPS，管理TLS证书，并调试安全连接问题。

下载

执行：openssl s_client -connect your-mysql-host:3306 -servername your-mysql-host（注意加 -servername 触发 SNI，尤其多域名部署时）
关键看输出里是否有 Verify return code: 0 (ok)；若为 20（unable to get local issuer certificate），说明客户端没加载对应 CA 证书
如果返回空或立即断开，大概率是 MySQL 没监听 SSL 端口（确认 have_ssl 为 YES，且 bind_address 没锁死 127.0.0.1）
证书过期会显示 verify error:num=10:certificate has expired，这类问题上线后容易被忽略

PHP `mysqli` 连接 MySQL SSL 时 `MYSQLI_OPT_SSL_CA` 不生效

PHP 的 mysqli 扩展对 SSL 参数极其敏感，MYSQLI_OPT_SSL_CA 必须在 mysqli_init() 之后、mysqli_real_connect() 之前设置，且路径必须是绝对路径——相对路径、符号链接、甚至 __DIR__ 拼接都可能静默失败。

正确写法：

mysqli_options($link, MYSQLI_OPT_SSL_CA, '/etc/mysql/ca.pem');
mysqli_options($link, MYSQLI_OPT_SSL_CERT, '/etc/mysql/client-cert.pem');
mysqli_options($link, MYSQLI_OPT_SSL_KEY, '/etc/mysql/client-key.pem');
mysqli_real_connect($link, $host, $user, $pass, $db, $port, null, MYSQLI_CLIENT_SSL);

漏掉 MYSQLI_CLIENT_SSL 标志位，前面所有 mysqli_options 都无效
PHP 7.4+ 支持 DSN 方式：mysql:host=localhost;dbname=test;charset=utf8mb4;sslmode=require，但仅限 pdo_mysql，mysqli 不支持
调试技巧：连接后执行 SELECT * FROM performance_schema.status_by_thread WHERE variable_name = 'Ssl_cipher';，结果为空说明 SSL 未启用