mysql双向ssl认证必须同时满足三条件：require_secure_transport=on（服务端强制）、create user时用require subject精确绑定客户端证书dn、客户端显式传--ssl-mode=required及--ssl-ca/--ssl-cert/--ssl-key；缺一不可，否则报access denied而非明确ssl错误。
MySQL双向SSL认证不是配完证书就自动生效的，必须同时满足服务端强制、用户级证书约束、客户端显式传参三者，缺一不可；否则连接会静默失败，报错却显示Access denied。
require_secure_transport = ON 是硬性守门员，不是可选项
没这一步，所有SSL配置都白搭——非SSL连接仍能成功，REQUIRE SUBJECT根本不会触发校验。它必须写在[mysqld]段，重启MySQL后执行SHOW VARIABLES LIKE 'require_secure_transport';确认返回ON。设成OFF或注释掉，就退化为普通连接。注意：ssl_mode = REQUIRED是客户端行为，服务端完全不读这个值，别把它和require_secure_transport混淆。
CREATE USER 必须用 REQUIRE SUBJECT，不能靠 GRANT 或 ALTER USER 补救
只写REQUIRE SSL或REQUIRE X509只能做基础校验，生产环境必须用REQUIRE SUBJECT绑定客户端证书DN字段，否则无法实现身份精确控制。
-
SUBJECT值必须与openssl x509 -in client-cert.pem -subject -noout输出**逐字一致**：空格、斜杠顺序、大小写都不能差 - 语法必须是
CREATE USER 'u'@'%' REQUIRE SUBJECT '/CN=client1/O=myorg';，GRANT ... REQUIRE X509无效 -
ALTER USER 'u'@'%' REQUIRE SUBJECT ''会清空之前所有REQUIRE条件，不是追加 - 切勿给
root用户配REQUIRE SUBJECT，一旦证书路径错或失效，可能彻底锁死管理入口
mysql 命令行客户端必须显式传三个 PEM 文件，不读 my.cnf 的 [client] 段
漏掉任一参数，错误表现通常是Access denied for user，而不是明确的SSL错误——因为服务端在校验失败后直接拒绝认证，不提示原因。
- 最小必要组合：
mysql --ssl-mode=REQUIRED --ssl-ca=ca.pem --ssl-cert=client-cert.pem --ssl-key=client-key.pem -u u -p -
--ssl-cert和--ssl-key必须成对出现；私钥不能加密（生成时用了-nodes），否则客户端无法加载 -
ca.pem在客户端和服务端必须是同一份；若服务端用了中间CA，客户端也得把根CA + 中间CA拼进一个ca.pem里 - Linux上证书文件权限必须是
600，否则mysql命令拒绝读取
ThinkPHP 等应用客户端要用 PDO 常量传参，不能用快捷键
ThinkPHP不识别sslca、sslcert这类简写，必须用标准PDO属性名，且路径要用绝对路径、Web用户要有读取权限。
- 配置中必须写
\PDO::MYSQL_ATTR_SSL_CA、\PDO::MYSQL_ATTR_SSL_CERT、\PDO::MYSQL_ATTR_SSL_KEY，其他写法无效 -
client-key.pem不能有密码，PDO不支持交互输入密钥口令 - 证书需由同一CA签发，且
client-cert.pem的extendedKeyUsage必须含clientAuth，否则服务端日志会报SSL is required and the client does not support it
最常被忽略的是：服务端require_secure_transport = ON没生效、客户端SUBJECT字符串空格多一个或少一个、私钥文件权限不是600——这三个点占了90%以上的双向SSL失败案例。验证时别只看SHOW VARIABLES，一定要用mysql命令行连一次，抓包确认流量是否真加密，再查服务端错误日志有没有SSL error线索。
