mysql容器需挂载有效tls证书并启用require_secure_transport=on，主从节点均配置ssl参数及复制加密选项，通过docker-compose精确映射证书路径、权限与启动命令顺序，验证ssl_cipher非空、master_ssl_allowed为yes且--ssl-mode=required连接成功。
MySQL容器默认不启用TLS，直接暴露复制流量或客户端连接存在明文风险。要在Docker中部署加密通信的MySQL集群，核心是为每个节点生成并挂载有效的TLS证书，并在启动时强制启用SSL/TLS参数——不是靠应用层代理，而是MySQL原生require_secure_transport和ssl-mode=REQUIRED控制。
MySQL容器必须挂载自签名或CA签发的证书文件
官方MySQL镜像（mysql:8.0及以上）支持通过挂载证书启动SSL，但不会自动生成证书。你不能依赖容器内mysql_ssl_rsa_setup在首次启动时生成——它只在mysqld初始化数据目录时运行一次，而Docker卷可能已存在旧数据，导致跳过该步骤。
- 必须提前在宿主机生成证书：用
openssl生成ca.pem、server-cert.pem、server-key.pem（主从节点共用CA，各自独立server证书更安全） - 挂载路径要匹配MySQL期望位置：
/var/lib/mysql/ca.pem、/var/lib/mysql/server-cert.pem、/var/lib/mysql/server-key.pem（注意：不是/etc/mysql/ssl/之类任意路径） - 证书权限必须为
600且属主为mysql:mysql，否则容器内mysqld拒绝读取——可在docker-compose.yml中用command加chown修复，或在宿主机chmod 600后再挂载
主从节点都需启用require_secure_transport=ON并配置SSL参数
仅配置证书文件不够。若未显式开启强制加密传输，MySQL仍允许非SSL连接，复制通道和客户端连接都可能走明文。关键参数必须通过command或my.cnf注入：
-
--require-secure-transport=ON：全局禁止非SSL连接（包括复制IO线程） -
--ssl-ca=/var/lib/mysql/ca.pem、--ssl-cert=/var/lib/mysql/server-cert.pem、--ssl-key=/var/lib/mysql/server-key.pem - 主节点还需
--tls-version=TLSv1.2,TLSv1.3明确限制协议版本（MySQL 8.0.28+支持） - 从节点除上述外，
CHANGE MASTER TO语句中必须加MASTER_SSL=1、MASTER_SSL_CA等字段，否则START SLAVE会报错ERROR 2026 (HY000): SSL connection error
docker-compose.yml中容易漏掉的三项配置
多数失败源于docker-compose.yml里证书挂载、权限、命令顺序没对齐。以下三项缺一不可：
-
volumes段必须将证书文件**逐个映射**到容器内确切路径，不能只挂载整个目录（否则权限混乱）；例如：- ./certs/ca.pem:/var/lib/mysql/ca.pem:ro -
command必须把SSL参数放在最前面，且不能被环境变量覆盖——MySQL镜像会把command追加到mysqld启动命令末尾，但--require-secure-transport这类开关必须在mysqld解析时生效，位置靠后会被忽略 -
environment中不能设MYSQL_ALLOW_EMPTY_PASSWORD=1或MYSQL_RANDOM_ROOT_PASSWORD=1，因为证书加载失败时MySQL会静默退出，而这些环境变量触发的初始化逻辑可能掩盖真实错误（日志里只显示mysqld failed to start，不提SSL）
验证加密是否真正生效的三个检查点
启动后别急着写数据，先确认加密链路已闭环：
- 登录主库执行
SHOW VARIABLES LIKE 'require_secure_transport';，结果必须是ON；再查SHOW STATUS LIKE 'Ssl_cipher';，非空表示当前连接已加密 - 在从库执行
SHOW SLAVE STATUS\G，检查Seconds_Behind_Master为数字且Slave_IO_Running: Yes，同时Master_SSL_Allowed: Yes且Master_SSL_Verify_Server_Cert: No（若用自签名证书，通常设为No；若用公共CA，则应为Yes） - 用
mysql --ssl-mode=REQUIRED -h 127.0.0.1 -P 3306 -u root -p从宿主机连接，成功即说明对外端口也强制SSL；若去掉--ssl-mode参数连接失败，才证明require_secure_transport真正起效
证书有效期、CN匹配、时间同步这三点最容易在线上突然失效——尤其是跨容器时系统时间不同步会导致TLS握手失败，但错误日志只显示“connection reset”，不会提示时钟问题。
