mysql ssl加密需同时满足服务端加载openssl、用户权限绑定require ssl、客户端主动握手三条件，缺一即降级明文且不报错；首要确认have_ssl=yes，证书路径正确存在，require_secure_transport=on强制启用，并通过ssl_cipher非空验证生效。
MySQL 不会自动加密——必须同时满足服务端加载、用户权限绑定、客户端真实握手三条件，缺一即降级为明文，且不报错。
确认 have_ssl = YES 是一切前提
很多配置失败，根本原因是 mysqld 启动时压根没加载 OpenSSL 模块。执行 SHOW VARIABLES LIKE 'have_ssl'，返回值必须是 YES；若为 DISABLED 或空，后续所有证书、配置、用户权限都无效。
-
SHOW VARIABLES LIKE 'ssl_ca'、ssl_cert、ssl_key也必须返回非空的绝对路径，且对应文件真实存在 -
SHOW VARIABLES LIKE 'version_ssl_library'查看底层库（OpenSSL/yaSSL），影响证书兼容性 -
have_ssl = DISABLED常见于 MariaDB 精简版、Alpine 镜像、或编译时未加-DWITH_SSL=system；重装官方二进制包比自行编译更可靠
用 mysql_ssl_rsa_setup 生成证书并确保权限正确
手写 OpenSSL 命令易出错（如 CN 不匹配、subjectAltName 缺失导致 X509_V_ERR_IP_ADDRESS_MISMATCH），优先用 MySQL 自带工具：
- 先确认数据目录归属：
ls -ld /var/lib/mysql/，属主应为mysql - 切到 mysql 用户运行：
sudo -u mysql mysql_ssl_rsa_setup --datadir=/var/lib/mysql（用 root 运行会导致server-key.pem属主为 root，mysqld 读不了） - 验证生成结果：
sudo -u mysql ls -l /var/lib/mysql/*.pem，server-key.pem必须是-rw-------（600），其他两个可为 644 - 证书必须放在 mysqld 有读权限的路径下，如
/var/lib/mysql/ca.pem，不能放/root/或用户家目录
my.cnf 中必须写死绝对路径并重启 mysqld
配置项写错路径、漏掉 [mysqld] 段、或只 reload 不重启，都会导致证书不加载。编辑 /etc/mysql/mysql.conf.d/mysqld.cnf（或 /etc/my.cnf），在 [mysqld] 下添加：
ssl_ca = /var/lib/mysql/ca.pem ssl_cert = /var/lib/mysql/server-cert.pem ssl_key = /var/lib/mysql/server-key.pem require_secure_transport = ON
- 四个路径必须是绝对路径，开头带
/；require_secure_transport = ON是强制开关，不加它，客户端仍可用--ssl-mode=DISABLED绕过 - 不要把配置写在
[client]段——那是客户端用的，对服务端无效 - 改完必须
systemctl restart mysql（不是reload），SSL 配置不支持热加载 - 重启后立刻查错误日志：
tail -n 50 /var/log/mysql/error.log，常见报错如SSL_CTX_set_default_verify_paths failed多由 SELinux 拦截，可临时sudo setenforce 0排查
用户权限 REQUIRE SSL 和客户端连接方式必须匹配
REQUIRE SSL 是用户级策略，不是全局开关。没配好服务端，直接加该权限只会让用户连不上（报错看似权限拒绝，实为 SSL 握手失败）：
- 新建用户：
CREATE USER 'app'@'%' IDENTIFIED BY 'pwd' REQUIRE SSL - 修改已有用户（仅限 MySQL ≥ 8.0.22）：
ALTER USER 'app'@'%' REQUIRE SSL；8.0.21 及更早需重建用户 - 验证：
SELECT user, host, ssl_type FROM mysql.user WHERE user = 'app'，ssl_type应为ANY - 测试务必用
127.0.0.1或远程 IP，localhost默认走 Unix socket，绕过所有 SSL 限制 - 客户端连接必须主动发起 TLS 握手，例如：
mysql --ssl-mode=REQUIRED -u app -p -h 127.0.0.1；JDBC 需显式设useSSL=true&requireSSL=true
真正生效的标志不是配置写了，而是当前连接的 Ssl_cipher 非空：STATUS 或 SHOW STATUS LIKE 'Ssl_cipher'。容易被忽略的是：即使所有配置都对，只要客户端没声明 SSL 模式，连接就静默走明文——你不会收到任何警告。
