require ssl仅在认证阶段校验tls连接，不强制加密；require_secure_transport=on才是全局强制tls的硬开关，且需have_ssl=yes、证书就绪、客户端显式启用ssl四者缺一不可。
因为REQUIRE SSL本身不强制连接加密，它只是账户级的“握手校验开关”——真正起作用的前提是服务端SSL已就绪、客户端主动发起TLS握手、且用户权限里明确写了这个子句。
require_secure_transport=ON才是全局强制加密的硬开关
很多人误以为只要给用户加了REQUIRE SSL，连接就自动走加密。实际不是：require_secure_transport=ON才真正拒绝所有未使用TLS的TCP连接（包括root@127.0.0.1）。而REQUIRE SSL只在用户认证阶段检查当前连接是否用了TLS，如果客户端没发TLS握手，它连认证环节都进不去，直接被require_secure_transport拦在外面。
-
require_secure_transport=ON生效后，错误提示常是Access denied for user，但真实原因是连接被协议层终止，不是密码错 - Unix socket连接（如
mysql -u root -S /var/run/mysqld/mysqld.sock）默认绕过require_secure_transport，不受影响 - 配置方式推荐
SET PERSIST require_secure_transport = ON;，比改my.cnf再重启更安全，且自动持久化
REQUIRE SSL必须配合客户端显式声明SSL模式
即使服务端开了require_secure_transport、用户也写了REQUIRE SSL，客户端不主动发起TLS握手，照样失败。这不是权限问题，是协议没对上。
- 命令行必须加
--ssl-mode=REQUIRED，--ssl-mode=PREFERRED或不加参数都会降级为明文 - JDBC URL要写全：
?sslmode=require&enabledTLSProtocols=TLSv1.2，旧参数usessl=true在MySQL 8.0+驱动中已失效 - PHP
PDO需在DSN中加sslmode=require；mysqli需传MYSQLI_CLIENT_SSL标志 - 用自签名证书时，避免
--ssl-mode=VERIFY_IDENTITY——它会校验CN或SAN，而自签证书CN通常为localhost，与真实IP不匹配直接拒连
have_ssl=YES是所有加密的前提，否则全是空转
执行SHOW VARIABLES LIKE 'have_ssl';返回DISABLED或空值，说明MySQL进程压根没加载OpenSSL模块。此时无论怎么配ssl_ca、REQUIRE SSL或require_secure_transport，都无效。
- 检查
ssl_ca、ssl_cert、ssl_key三个变量是否非空，且路径是绝对路径（如/var/lib/mysql/ca.pem），不能是~/或软链接 - 证书文件权限必须严格：
server-key.pem得是600，且mysql用户可读（sudo -u mysql ls -l /path/to/server-key.pem验证） - Linux下SELinux或AppArmor常拦截
mysqld读证书，临时setenforce 0能快速定位是否为此类问题 - 配置完必须重启
mysqld，reload不生效；验证是否真启用：查SHOW STATUS LIKE 'Ssl_cipher';，非空才表示当前连接走了加密
真正容易被忽略的是：SSL配置不是“一配就通”，而是服务端证书就绪、全局开关开启、用户权限绑定、客户端参数对齐四者缺一不可。其中have_ssl=YES和require_secure_transport=ON是硬门槛，跨不过去，其他都是白搭。
