thinkphp mysql ssl连接配置必须写在database.php的params数组中，使用pdo::mysql_attr_ssl_ca等标准常量及绝对路径证书，其他位置配置均无效。
ThinkPHP MySQL SSL连接配置必须写在params里
SSL不是开关，是PDO底层参数透传。ThinkPHP 6 的 database.php 中，只有 params 数组是合法入口，其他位置（如 DSN 字符串、模型层、env 配置项）写 SSL 参数全无效。
常见错误是把 sslca、sslcert 这类“快捷键”塞进 params，结果被框架静默忽略。必须用标准 PDO 常量：PDO::MYSQL_ATTR_SSL_CA、PDO::MYSQL_ATTR_SSL_CERT、PDO::MYSQL_ATTR_SSL_KEY、PDO::MYSQL_ATTR_SSL_MODE。
证书路径必须是服务器本地绝对路径，比如 /etc/mysql/ssl/ca.pem；相对路径（./cert/ca.pem）或 HTTP URL 会导致连接直接失败。
- 服务端未启用 SSL 时，
SHOW VARIABLES LIKE '%ssl%'返回have_ssl=DISABLED，此时客户端配再全也没用 - MySQL 用户若未设
REQUIRE SSL或REQUIRE X509，SSL 连接会退化为明文通信，抓包可见 SQL 明文 -
PDO::MYSQL_ATTR_SSL_MODE设为PDO::MYSQL_ATTR_SSL_MODE_VERIFY_IDENTITY时，要求服务端证书域名匹配，内网环境基本不可用，优先选PDO::MYSQL_ATTR_SSL_MODE_REQUIRED
SSL加密对ThinkPHP数据库性能的实际影响很小
SSL 加密发生在 TCP 层之上、MySQL 协议层之下，加解密由 OpenSSL 库完成，不走 PHP 解释器，CPU 开销集中在连接建立阶段（握手），而非每条查询。
实测表明：单次连接复用场景下（ThinkPHP 默认开启持久连接），SSL 握手仅增加约 1–3ms 延迟；高并发短连接（如 CLI 脚本频繁新建连接）才会明显放大损耗。I/O 层面无额外数据膨胀，不增加磁盘或网络带宽压力。
- SSL 不改变 SQL 执行逻辑，不影响索引使用、查询计划、缓存命中率
- 不会拖慢
save()、where()->find()等 ORM 操作，因为加密解密只作用于网络传输载荷 - 真正影响性能的是密钥交换算法：MySQL 8.0+ 默认启用
tls_version=TLSv1.3，握手只需一次往返（1-RTT），比 TLSv1.2 快 30% 以上
双向SSL认证（mTLS）在ThinkPHP中容易踩的坑
双向认证不是“多配两个参数”就能跑通，它要求服务端强制校验客户端身份，且证书链完整可信。ThinkPHP 本身不参与证书验证，只是把文件路径传给 PDO，失败原因几乎全在环境侧。
典型报错 PDOException: SQLSTATE[HY000] [2002] SSL connection error，90% 是以下之一：
- 私钥文件
client-key.pem含密码——PDO 不支持交互式输入，必须用openssl rsa -in client-key-enc.pem -out client-key.pem去密 - Web 进程用户（如
www-data）无权读取证书文件，ls -l /etc/mysql/ssl/看权限是否包含read - CA 证书、客户端证书、服务端证书不是同一 CA 签发，或服务端未加载 CA 证书（
ssl_ca变量为空） - MySQL 用户创建时没用
CREATE USER 'u'@'h' REQUIRE X509，而只写了REQUIRE SSL，后者不要求客户端证书
字段加密和SSL加密根本不是一回事，别混用
很多人以为开了 SSL 就不用字段加密了，这是危险误解。SSL 只保传输中安全（in-transit），一旦数据落库，就是明文；字段加密保静态数据安全（at-rest）。两者解决的问题域完全不同，必须共存。
ThinkPHP 6 不提供字段自动加解密，encrypt() 和 decrypt() 方法是工具函数，不是 ORM 钩子。真要加密手机号，得靠模型的访问器/修改器手动调用 openssl_encrypt()，且注意：
-
update(['phone' => '138...'])绕过修改器，字段不会加密——必须用$user->phone = '138...'; $user->save(); - 加密后数据含 Base64 字符（
+、/、=），字段类型必须是TEXT或足够长的VARCHAR，排序规则推荐utf8mb4_bin - IV 不能每次随机生成后丢弃，否则无法解密；也不宜全局固定，建议从密钥派生（如
substr(hash('sha256', $key), 0, 16)）或单独存一列
最易被忽略的是密钥生命周期管理：硬编码在模型里、写死在配置文件中、或通过 env() 读取但未限制权限，都等于没加密。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
