是，+srv连接字符串默认启用tls基础加密，但不自动解决跨区域证书信任、主机名验证或ca加载问题。
必须显式启用 TLS，+srv 连接字符串不自动解决跨区域证书信任问题。MongoDB 本身不感知“多数据中心”拓扑，它只按 TLS 握手规则验证单次连接；跨区域安全传输能否成立，取决于证书链、CA 配置和网络路径上每个节点的 TLS 策略是否一致。
用 mongodb+srv:// 连接时 TLS 是否自动生效？
是，但仅限基础加密层开启。+srv 默认设 tls=true，但不会自动加载你私有 CA 的根证书，也不会校验跨区域服务器的主机名是否匹配其证书中的 SAN（Subject Alternative Name）。若各数据中心 MongoDB 实例使用不同域名（如 mongo-us-east.example.com 和 mongo-ap-southeast.example.com），而证书里没同时包含这两个 DNS 条目，连接会因主机名验证失败中断。
- 检查证书 SAN：用
openssl x509 -in server.pem -text -noout | grep -A1 "Subject Alternative Name" - 若 SAN 不全，需重签证书，或临时禁用主机名验证（不推荐）：
tlsAllowInvalidHostnames=true - +srv 解析出的多个 SRV 记录（如不同 region 的 A 记录）仍各自走独立 TLS 握手，无“全局信任上下文”
tlsCAFile 必须指向统一可信根证书文件
跨区域部署中，所有 MongoDB 实例应由同一私有 CA 签发证书；客户端连接任意实例时，都需用同一个 tlsCAFile 文件验证对方身份。若各中心自建 CA，又未做交叉签名，PyMongo 或 Go driver 会因无法构建信任链而报错 SSL routines:ssl3_get_server_certificate:certificate verify failed。
- CA 文件必须是 PEM 格式，且含完整根证书（不能只含中间证书）
- 路径必须可被进程读取：在容器中运行时，确认该文件已挂载到容器内指定路径，如
/etc/mongo/ca.pem - Go driver 示例：
opts := options.Client().SetTLSConfig(&tls.Config{RootCAs: x509.NewCertPool()}); opts.TLSConfig.RootCAs.AppendCertsFromPEM(caData)
避免误用 tlsAllowInvalidCertificates 绕过验证
这个选项会跳过证书签名和有效期检查，等同于裸 TCP 连接加一层混淆——它让跨区域链路“连得上”，但完全失去 MITM 防御能力。真实生产环境里，常见错误是测试阶段开了它，上线后忘记关，结果流量虽加密，却可能被区域出口网关劫持并解密。
- 仅允许在离线集成测试中临时启用，且必须配合网络策略限制访问源 IP
- 替代方案：用
tlsCertificateKeyFile提供客户端证书，启用双向 TLS（mTLS），强制所有数据中心节点互相认证 - 若必须容忍自签名证书，请用
tlsCAFile显式加载对应 CA，而非关闭验证
OCSP 装订在跨区域场景下可能失效
MongoDB 4.4+ 支持 OCSP 装订，但要求服务器证书中嵌入的 OCSP 响应未过期且由可信 OCSP 签发者签名。跨区域时，若各中心时间不同步（>5 分钟偏差），或 OCSP 响应缓存过期后服务器无法联网回源更新，PyMongo 会拒绝连接并报 certificate revoked 或 ocsp response expired。
- 优先确保所有 MongoDB 节点 NTP 同步到同一权威时间源
- 若 OCSP 基础设施不可靠，可禁用装订检查：
tlsDisableOCSPEndpointCheck=true（注意：这不等于禁用 OCSP，只是不主动联系 OCSP 端点） - 不建议设置
tlsDisableCertificateRevocationCheck=true，除非你明确接受证书吊销状态不可知的风险
跨区域 TLS 的核心复杂点不在 MongoDB 配置本身，而在于 CA 生命周期管理、证书 SAN 覆盖范围、以及各区域基础设施（NTP、DNS、防火墙）对 TLS 握手细节的隐性干扰。一次连接失败，大概率不是 tls=true 没写对，而是某台机器上的 ca.pem 少了一行换行，或某个 region 的负载均衡器悄悄终止了 TLS 并重发起始连接。
