必须启用require_secure_transport=on并配置ssl证书，主从复制才真正加密；仅配证书不设该参数、从库未传全ssl参数、复制账号未require ssl或证书权限错误，均会导致明文传输。
公网或跨网段部署 MySQL 主从复制，不配 SSL 就等于把 binlog 流、SQL 语句、账号密码全裸奔在 TCP 上——Wireshark 抓包即见 UPDATE users SET token= 这类敏感内容。必须加密，且仅配置证书远远不够。
主库 require_secure_transport=ON 是强制开关，不是可选项
只在 my.cnf 里配了 ssl_ca/ssl_cert/ssl_key，但没设 require_secure_transport = ON，等于锁了门却留着窗户。从库哪怕带了 SOURCE_SSL = 1，主库仍会静默接受明文连接，SHOW SLAVE STATUS\G 里 Slave_SSL_Allowed: No 就是这个原因。
- 该参数必须写进
[mysqld]段，重启 mysqld 才生效；SET GLOBAL动态设置无效 - 确认生效：执行
SHOW VARIABLES LIKE 'require_secure_transport'，返回ON - 常见错误：把 SSL 参数错放
[client]或[mysql]段，mysqld 启动时直接忽略
从库 CHANGE REPLICATION SOURCE TO 必须显式传全 SSL 参数
SOURCE_SSL = 1 单独出现毫无作用。MySQL 复制客户端不会报错，而是自动降级走明文——你得靠结果反推是否真加密。
- 必须成对提供：
SOURCE_SSL_CA（验证主库身份）、SOURCE_SSL_CERT和SOURCE_SSL_KEY（仅双向认证需要） -
SOURCE_SSL_CA必须和主库的ssl_ca是同一份 PEM 文件，否则握手失败报SSL error: certificate verify failed - MySQL 8.0.22+ 示例：
CHANGE REPLICATION SOURCE TO SOURCE_HOST = 'master.example.com', SOURCE_USER = 'repl', SOURCE_PASSWORD = 'xxx', SOURCE_SSL = 1, SOURCE_SSL_CA = '/etc/mysql/ca.pem', SOURCE_SSL_CERT = '/etc/mysql/client-cert.pem', SOURCE_SSL_KEY = '/etc/mysql/client-key.pem', SOURCE_LOG_FILE = 'mysql-bin.000001', SOURCE_LOG_POS = 154;
复制账号必须 REQUIRE SSL + 限定 IP，否则证书白配
哪怕主库开了 require_secure_transport = ON，如果复制用户没强制 SSL，攻击者仍可用该账号发起明文连接，绕过所有加密防护。
- 创建时必须加
REQUIRE SSL：CREATE USER 'repl'@'192.168.10.5' IDENTIFIED BY 'StrongPass123!' REQUIRE SSL;
- 禁止用
%通配符，明确指定从库 IP；再配合防火墙或云安全组，只放行该 IP 的 3306 端口 - 验证是否生效：
SELECT user, host, ssl_type FROM mysql.user WHERE user = 'repl';，ssl_type应为ANY或X509
证书权限和路径错误会导致启动失败或握手静默失败
私钥文件权限不是 600、路径写错、mysqld 用户无读取权——这些错误不会让服务启动失败，但会导致 SSL 握手失败，且日志里只报模糊的 SSL connection error 或 Unable to get certificate from file。
- 所有 PEM 文件（
ca.pem、server-key.pem、client-key.pem）权限必须为600，属主为 mysqld 运行用户（通常是mysql） - 路径必须是绝对路径，且 mysqld 启动用户能读取；
ls -l /etc/mysql/ca.pem看权限，sudo -u mysql cat /etc/mysql/ca.pem验证可读 - 自签名证书默认校验 CN，若主库域名和证书 CN 不一致，需加
SOURCE_SSL_VERIFY_SERVER_CERT = 0（不推荐生产环境长期使用）
真正难的不是生成证书，而是每一步都得闭环验证：主库 require_secure_transport 是否 ON、从库 Slave_SSL_Allowed 是否 Yes、复制账号是否 REQUIRE SSL、证书文件权限是否 600——漏掉任意一环，整个链路就退化成明文。
