mysql 8.0+ 启用ssl需三步：编译支持（have_ssl= yes）、服务端配置ssl_ca/cert/key绝对路径并重启、客户端显式设置ssl_mode；证书须pem无密钥，cn匹配连接地址。

MySQL 8.0+ 启用 SSL 的最低可行配置路径

MySQL 默认不启用 SSL，即使你生成了证书，ssl_mode 仍为 DISABLED。必须显式开启服务端 SSL 支持，并验证实际生效状态，否则客户端强制加密会直接失败。

• 先确认 MySQL 编译时已启用 SSL：SHOW VARIABLES LIKE 'have_ssl'; 返回 YES 才能继续
• 服务端启动时需加载三类文件：ssl_ca（CA 证书）、ssl_cert（服务器证书）、ssl_key（服务器私钥），路径必须绝对且 MySQL 进程有读权限
• 推荐在 my.cnf 的 [mysqld] 段落中配置，避免命令行参数重启丢失：

  ssl_ca = /var/lib/mysql/ca.pem
  ssl_cert = /var/lib/mysql/server-cert.pem
  ssl_key = /var/lib/mysql/server-key.pem

• 配置后必须重启 mysqld，仅 reload 不生效；检查是否启用：SHOW VARIABLES LIKE 'ssl%'; 中 ssl_cipher 非空即表示成功

用 OpenSSL 生成兼容 MySQL 的 PEM 格式证书链

MySQL 要求 CA、服务器证书、私钥均为 PEM 格式，且私钥不能加密（即无密码）。常见错误是用 openssl req -newkey rsa:2048 -nodes 生成带密码的 key，或混淆 DER/PEM 编码。

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

• 生成 CA 私钥和自签名证书（只做一次）：

  openssl genrsa 2048 > ca-key.pem
  openssl req -new -x509 -nodes -days 3650 -key ca-key.pem -out ca.pem

• 生成服务器私钥（务必加 -nodes）：

  openssl genrsa -nodes 2048 > server-key.pem

• 生成服务器证书请求并签发（注意 CN 不能为 localhost，建议填域名或 IP）：

  openssl req -new -key server-key.pem -out server-req.pem
  openssl x509 -req -in server-req.pem -days 3650 -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem

• 验证证书匹配性：openssl x509 -noout -text -in server-cert.pem | grep -A1 "Subject Public Key Info" 和 openssl rsa -noout -text -in server-key.pem | grep -A1 "modulus" 输出前几行应一致

客户端连接时强制 SSL 加密的三种方式及区别

“强制加密”不是单靠服务端配置就能实现的，客户端必须明确声明 SSL 要求，否则仍走明文。MySQL 客户端行为由 ssl_mode 参数控制，不同值语义差异极大。

• --ssl-mode=REQUIRED：最常用，只要服务端支持 SSL 就加密，但不校验证书（易受中间人攻击）
• --ssl-mode=VERIFY_CA：校验服务端证书是否由指定 CA 签发，需配合 --ssl-ca=/path/to/ca.pem
• --ssl-mode=VERIFY_IDENTITY：除 VERIFY_CA 外，还校验证书中 CN 或 SAN 是否匹配连接目标地址（如 mysql -h db.example.com 要求证书含该域名）
• 应用层连接字符串示例（Python PyMySQL）：ssl={'ca': '/path/to/ca.pem', 'check_hostname': True}，此时 ssl_mode 隐含为 VERIFY_IDENTITY
• 注意：MySQL 8.0.22+ 默认 ssl_mode=REQUIRED，但老版本或 Docker 镜像可能仍为 DISABLED，必须显式指定

常见连接失败原因与快速排查顺序

报错信息看似相似，但根因完全不同。优先看客户端错误提示，再查服务端日志，不要一上来就重生成证书。

• SSL connection error: protocol version mismatch：客户端和服务端 TLS 版本不兼容，MySQL 8.0.16+ 默认禁用 TLSv1.0，检查客户端是否太旧（如旧版 mysql CLI 或 JDBC 驱动）
• SSL connection error: SSL_CTX_set_default_verify_paths failed：客户端找不到 CA 文件，路径错或权限不足（Linux 下 MySQL 用户无法读取用户 home 目录下的文件）
• Access denied for user ... (using password: YES) 且启用了 require_secure_transport=ON：说明服务端已强制加密，但客户端未启用 SSL，不是密码错误
• 用 mysql --ssl-mode=DISABLED -u root -p 能连上，但 --ssl-mode=REQUIRED 失败 → 90% 是服务端 ssl_cert/ssl_key 路径配置错误或文件权限不对（MySQL 进程用户需可读）

证书私钥必须无密码、CN 必须匹配连接地址、客户端 ssl_mode 必须显式设置——这三个点漏掉任意一个，都会让整个 SSL 链路静默降级到明文。