mysql 8.0 ssl 加密失败主因是服务端未加载证书，需确认 have_ssl=yes、ssl_cipher 非空，并正确配置 ssl_ca/cert/key 路径、require_secure_transport=on、证书权限与 cn 匹配。
MySQL 8.0 启用 SSL 加密连接失败，90% 是因为服务端根本没加载证书——have_ssl 显示 DISABLED 或 NO，所有客户端配置都白搭。
确认 MySQL 是否真支持并启用了 SSL
别跳过这步。执行：mysql -e "SHOW VARIABLES LIKE 'have_ssl';"。如果返回 DISABLED 或 NO，说明 MySQL 启动时压根没读到证书文件，后续所有操作都是徒劳。
-
have_ssl = YES才代表编译时启用了 SSL 支持 -
ssl_cipher非空（比如DHE-RSA-AES256-SHA）才表示当前连接已加密 - 仅靠
SHOW VARIABLES LIKE 'ssl_mode'没用，它只反映客户端默认行为，不是服务端状态
用 mysql_ssl_rsa_setup 生成证书但没生效？检查三件事
这个工具只生成文件，不改配置、不重启、不设权限。看似成功，have_ssl 却仍是 DISABLED，大概率卡在这三个地方：
- 运行命令时没切到
mysql用户：sudo -u mysql mysql_ssl_rsa_setup --datadir=/var/lib/mysql，否则生成的server-key.pem属主是root，MySQL 进程读不了 - 证书路径不在 MySQL 数据目录下（如
/var/lib/mysql/），或 SELinux 拦截：sudo setenforce 0临时验证是否是 SELinux 导致SSL_CTX_set_default_verify_paths failed - 生成后没重启
mysqld：修改配置或证书文件后，systemctl reload mysqld不生效，必须systemctl restart mysqld
手动配置 my.cnf 必须写对这四行
在 [mysqld] 段落里，以下四行缺一不可，且路径必须是绝对路径：
ssl_ca = /var/lib/mysql/ca.pem ssl_cert = /var/lib/mysql/server-cert.pem ssl_key = /var/lib/mysql/server-key.pem require_secure_transport = ON
注意：
-
ssl_key对应的私钥文件（server-key.pem）必须无密码，且权限为600；openssl rsa -in server-key.pem -out server-key.pem可强制去密 -
require_secure_transport = ON是硬开关，它拒绝所有非 SSL 连接，比只配ssl_*参数更可靠 - 路径不能写成
./ca.pem或~/ca.pem，MySQL 不解析相对路径 - 证书 CN 或
subjectAltName必须匹配客户端连接时用的地址（如127.0.0.1或域名），否则客户端报X509_V_ERR_IP_ADDRESS_MISMATCH
客户端连不上？先看报错类型再动手
常见错误和对应动作：
-
SSL connection error: SSL is required but the server doesn't support it→ 服务端have_ssl是DISABLED，回第一段查 -
Access denied for user ... (using password: YES)→ 用户没被要求 SSL，但服务端开了require_secure_transport = ON，需创建用户时加REQUIRE SSL，或用ALTER USER 'user'@'host' REQUIRE SSL; -
protocol version mismatch→ 客户端 TLS 版本太低，MySQL 8.0.28+ 默认要求 TLSv1.2+，旧版 Pythonmysql-connector-python可能不兼容，升级驱动或显式指定--ssl-mode=REQUIRED
最常被忽略的是：证书文件权限、CN 匹配、以及 require_secure_transport = ON 这一行没加——它才是让加密真正“强制起来”的开关，不是可选项。
