mysql ssl连接需用pdo::mysql_attr_ssl_ca等常量配绝对路径证书，laravel连接池缓存导致运行时切换失效，docker/vapor需注意证书路径和权限，mysql 8.0+ require_secure_transport强制ssl时须授权用户require ssl。
MySQL连接配置SSL时PDO::ATTR_SSL_CA不生效
常见现象是配置了CA证书路径但连接仍走非加密通道，甚至报错SSL connection error: unknown error number。根本原因不是Laravel本身问题，而是底层PDO在建立连接前没把SSL选项透传给MySQL驱动。
实操建议：
- 必须在
config/database.php的mysql连接配置里显式启用'options'，且用PDO::MYSQL_ATTR_SSL_CA、PDO::MYSQL_ATTR_SSL_CERT、PDO::MYSQL_ATTR_SSL_KEY这三个常量（不是PDO::ATTR_SSL_*） - 证书路径必须是绝对路径，推荐用
base_path('certs/ca.pem')而非相对路径 - 如果MySQL服务端只允许SSL连接（
REQUIRE SSL），还要加'ssl_mode' => 'REQUIRED'到配置中，否则PDO默认会降级为非SSL
Laravel 9+ 使用DB::connection()动态切SSL连接失败
想在运行时临时切换带SSL的连接（比如只对某次查询启用加密），直接调用DB::connection('mysql-ssl')却连上默认无SSL的连接——这是因为Laravel的连接池在首次解析配置后就缓存了PDO实例，后续不会重新读取options。
实操建议：
- 不要依赖运行时重连，而是在
config/database.php里定义一个独立连接名，如'mysql-ssl'，完整复制mysql配置并只改options和ssl_mode - 确保该连接在
DB::reconnect('mysql-ssl')前未被使用过，否则仍会复用旧连接 - 验证是否真走SSL：执行
DB::select("SHOW STATUS LIKE 'Ssl_cipher'")，返回非空值才算成功
部署到Docker或Laravel Vapor时证书文件找不到
本地测试OK，一上容器就报failed to load ca certificate，本质是PHP进程没权限读取挂载进来的证书路径，或者路径在容器内根本不存在。
实操建议：
- Docker中用
VOLUME或copy把证书放进镜像固定路径（如/etc/ssl/mysql-ca.pem），配置里写死这个路径 - Vapor环境下不能用
base_path()，因为代码包解压后storage和bootstrap目录结构不同，应改用__DIR__.'/../certs/ca.pem'这种相对定位 - 检查PHP的
open_basedir限制是否拦住了证书路径，可通过ini_get('open_basedir')确认
MySQL 8.0+ 默认require_secure_transport导致Laravel连接被拒
错误信息通常是Access denied for user 'xxx'@'xxx' (using password: YES)，但用户名密码完全正确。这是MySQL服务端强制要求SSL，而Laravel默认连接没声明SSL能力。
实操建议：
- 先确认服务端设置：
SELECT @@require_secure_transport;，若为ON，客户端必须提供SSL参数 - 除了配置
options，还必须在数据库用户权限里显式授权SSL：GRANT ALL ON *.* TO 'user'@'%' REQUIRE SSL;，仅CREATE USER ... REQUIRE SSL不够 - 若无法改服务端，临时方案是在连接字符串里加
&ssl_mode=DISABLED（仅限测试），但Laravel 10+已弃用此方式，应改用'ssl_mode' => 'DISABLED'配置项
真正麻烦的是混合环境：有些查询要SSL，有些不用，又不想维护两套连接配置。这时候得靠中间件或Repository层做路由判断，而不是指望框架自动识别。
