thinkphp 5 不支持 mysql 服务端证书校验，因其数据库参数白名单未包含 pdo::mysql_attr_ssl_verify_server_cert，导致即使配置 ca 路径也仅加密不验证；启用加密需正确设置 pdo::mysql_attr_ssl_ca 和 pdo::mysql_attr_ssl_mode。
ThinkPHP 5 无法原生启用 MySQL 服务端证书校验，哪怕配了 CA 路径，连接也只加密不验证——这是 TP5 的硬限制，不是配置错了。
为什么 TP5 配了 SSL 参数还是不校验证书？
TP5 的数据库连接参数白名单里压根没包含 PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT。你写进 params 数组里的这个键，会被框架直接忽略，PDO 构造时根本收不到。所以即使 PDO::MYSQL_ATTR_SSL_CA 指向了正确的 /etc/mysql/ssl/ca.pem，只要没这个开关，MySQL 客户端（即 PDO）就默认跳过证书链验证。
现象很典型：连接能通、SHOW STATUS LIKE 'Ssl_cipher' 有值，但把 CA 文件删掉几行，连接照样成功——说明校验根本没跑。
- TP5 不支持
sslmode=verify-full这类 PostgreSQL 风格参数，写了也白写 - 错误日志里如果出现
PDO::__construct(): SSL connection failed，大概率是证书路径错或 PHP 进程没读取权限，而不是校验失败 - 抓包看 TLS 握手阶段，如果没发
CertificateVerify消息，就是校验没启用
TP5 启用 SSL 加密连接的最小可行配置
只要求传输加密（比如内网环境防嗅探），不强制校验服务端身份，TP5 是能跑通的。关键点全在 params 数组里，且必须用 PDO 常量作键名：
-
PDO::MYSQL_ATTR_SSL_CA→ 必填，填 CA 证书绝对路径，如/data/certs/mysql-ca.pem -
PDO::MYSQL_ATTR_SSL_MODE→ 推荐设为PDO::MYSQL_ATTR_SSL_MODE_REQUIRED（整数值 1） - 证书路径不能是相对路径（
./ca.pem）、不能是 URL、不能带 Windows 反斜杠（C:\certs\ca.pem要改成C:/certs/ca.pem或正斜杠） - PHP 进程用户（如 www-data）必须对证书文件有读权限，
ls -l /data/certs/mysql-ca.pem看一眼
示例片段（database.php）：
'params' => [
\PDO::MYSQL_ATTR_SSL_CA => '/data/certs/mysql-ca.pem',
\PDO::MYSQL_ATTR_SSL_MODE => \PDO::MYSQL_ATTR_SSL_MODE_REQUIRED,
],
想让 TP5 实际校验证书？只有两个现实选择
别折腾 patch think\db\connector\Mysql::connect()，框架升级或重装就失效，维护成本太高。
-
升级到 ThinkPHP 6：TP6 的
params白名单已放开，加一行\PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT => true就生效 -
换 MySQLi 扩展手动控制：绕过 TP5 的 PDO 封装，在模型或 Db 类里自己 new mysqli()，调用
$mysqli->ssl_set()再real_connect()，但会失去框架的查询构建、事务管理等能力
如果必须留在 TP5 且强依赖证书校验，建议把敏感查询抽出来用原生 MySQLi 写，其余走 TP5 普通连接——混合模式比强行 patch 更可控。
真正容易被忽略的点是：TP5 的 SSL 配置成败，80% 取决于服务端是否真开了 SSL，而不是客户端写了多少参数。先在服务器上跑 mysql -u user -h host --ssl-ca=/path/to/ca.pem -e "SHOW STATUS LIKE 'Ssl_cipher'" 确认能连且有 cipher，再回头调 PHP 配置。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
