ssl握手失败主因是证书校验失败，90%源于证书链不完整（如atlas切换至isrg root x1后未更新ca bundle）、域名不匹配（san字段须精确一致）或系统时间偏差超5分钟。
SSL握手失败不是网络不通，而是证书校验卡住了——90%的情况出在证书链、域名匹配或系统时间上。
检查证书链是否完整（尤其是Atlas用户）
MongoDB Atlas 在 2025 年起已将根证书从 IdenTrust 切换为 ISRG Root X1，并每 45 天轮换一次中间证书。如果你用的是旧版 CA bundle（比如系统自带的 /etc/ssl/certs/ca-certificates.crt），很可能缺了新根证书。
- 用
openssl s_client -connect x.y.mongodb.net:27017 -servername x.y.mongodb.net查看实际返回的证书链，确认末尾是否为ISRG Root X1 - 若缺失，下载最新 bundle：
curl -O https://letsencrypt.org/certs/isrg-root-x1.pem，然后在连接字符串中显式指定：?tlsCAFile=isrg-root-x1.pem - PHP 用户注意：
mongodb+srv://连接默认不加载系统 CA，必须传ca_file参数到MongoDB\Driver\Manager构造函数
验证证书域名与连接字符串是否一致
PyMongo 和 mongosh 默认启用 tlsAllowInvalidHostnames=False，要求证书的 SAN（Subject Alternative Name）字段必须精确匹配你连接时用的域名——哪怕只是多了一个 www. 或少了个 .mongodb.net 后缀都会失败。
- 运行：
echo | openssl s_client -connect cluster-abc.mongodb.net:27017 2>/dev/null | openssl x509 -noout -text | grep -A1 "Subject Alternative Name" - 对比输出中的
DNS:条目和你的连接字符串（如mongodb+srv://cluster-abc.mongodb.net）是否完全一致 - 开发环境临时绕过（仅限测试）：
?tlsAllowInvalidHostnames=true；生产环境必须修复证书或改用匹配的域名
确认系统时间与证书有效期是否匹配
SSL 握手会严格校验本地系统时间。如果设备时间偏差超过 5 分钟，即使证书本身有效，也会被判定为“尚未生效”或“已过期”。
- Linux/macOS：运行
date，确认输出时间与https://time.is/一致；必要时执行sudo ntpdate -s time.apple.com或启用 systemd-timesyncd - Windows：右键任务栏时间 → “调整日期/时间” → 开启“自动设置时间”
- 容器环境（Kubernetes/Docker）：确保 host 时间同步，且容器未挂载错误的
/etc/localtime或禁用 NTP
PyMongo 连接字符串里哪些参数真有用
很多教程乱加参数反而触发更严格的校验。实际只需关注三个关键开关：
-
tls=true：必须开启（ssl=true是旧别名，已弃用） -
tlsCAFile=xxx.pem：指向完整证书链文件（非单个证书），路径必须可读 -
tlsAllowInvalidHostnames=true：仅调试用，上线前删掉 - 别碰
tlsAllowInvalidCertificates=true—— 它会让 PyMongo 跳过所有证书校验，等同于裸连，MongoDB 官方明确不推荐
最容易被忽略的是：证书文件路径在容器或远程部署时经常因挂载方式或相对路径失效，务必用绝对路径 + ls -l 确认可读性。
