怎样在phpMyAdmin中配置SSL证书以实现加密连接远程MySQL？-phpMyAdmin-PHP中文网

不能。phpMyAdmin 本身不提供界面生成、上传或绑定 MySQL 的 SSL/X509 证书，所有证书操作必须在 MySQL 服务端完成；它仅支持通过 config.inc.php 配置已存在的客户端证书路径（ssl_ca、ssl_cert、ssl_key），且路径须为 PHP 进程可读的绝对路径，权限需正确，否则会静默失败或报“Access denied”等误导性错误。

phpMyAdmin 本身不能生成、上传或绑定 MySQL 的 SSL/X509 证书，所有证书操作必须在 MySQL 服务端完成；你能在 config.inc.php 里配的，只是让 phpMyAdmin **用已存在的证书去连接**——配错路径、漏参数、忽略权限，都会导致静默失败或报错 Access denied for user 'xxx'@'%' (using password: YES)，而错误里根本不会提 SSL。

MySQL 服务端必须先启用并验证 SSL

不检查服务端状态就配 phpmyadmin 是白忙。登录 mysql 执行：

SHOW VARIABLES LIKE 'have_ssl';

返回 YES 才算真正支持；再查：

SHOW VARIABLES LIKE '%ssl%';

确认 ssl_ca、ssl_cert、ssl_key 三项非空。若为空，说明服务端没加载证书——phpMyAdmin 再怎么配也没用。

证书必须由 MySQL 服务端生成或部署（推荐用 mysql_ssl_rsa_setup 或 openssl）
require_secure_transport = ON 不是必须项，但开启后会强制所有连接走 SSL，此时客户端证书就变成刚需
用户需显式创建为 CREATE USER 'u'@'%' REQUIRE X509;，仅开服务端 SSL 不等于用户启用了证书认证

phpMyAdmin config.inc.php 必须补全全部 SSL 路径参数

$cfg['Servers'][$i]['ssl'] = true; 只是开关，不填证书路径等于没开。必须在同一服务器上、PHP 进程可读的绝对路径下提供三件套：

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

$cfg['Servers'][$i]['ssl_ca']：CA 根证书路径（如 /etc/mysql/ca.pem）
$cfg['Servers'][$i]['ssl_cert']：客户端证书路径（如 /etc/mysql/client-cert.pem）
$cfg['Servers'][$i]['ssl_key']：客户端私钥路径（如 /etc/mysql/client-key.pem），且不能设密码（PHP 不支持交互解密）
路径必须是 phpMyAdmin 所在服务器上的本地文件系统路径，不是浏览器能访问的 URL
私钥文件权限应为 600，属主为运行 PHP 的用户（如 www-data 或 apache），否则读取失败无提示

常见报错与真实原因对应关系

很多错误信息极具误导性，实际根源不在表面：

Access denied for user 'xxx'@'%' (using password: YES) → 实际是证书未提供或校验失败，MySQL 拒绝了 X509 认证，但错误里完全不提 SSL
Unknown SSL error → OpenSSL 握手失败，常见于：ssl_ca 路径错、证书链不完整、客户端证书缺少 TLS Web Client Authentication 扩展用途
连接超时或静默断开 → MySQL 开了 require_secure_transport = ON，但 phpMyAdmin 没配 ssl_ca，服务端直接拒连，日志可能只写 SSL connection error: protocol error
PHP 报 mysqli::real_connect(): SSL operation failed → 私钥有密码，或文件权限不对，或路径拼写错误（注意 Linux 区分大小写）

ssl_verify = false 不是万能解药

自签名证书环境下，设 $cfg['Servers'][$i]['ssl_verify'] = false; 可跳过 CA 验证，但仍有硬性限制：

仅适用于 PHP 使用 mysqlnd 驱动（非 libmysqlclient）
PHP ≥ 5.6 后还会校验证书 CN 是否匹配 MySQL 服务器 hostname，这个校验无法单独关闭，除非关掉整个 ssl_verify
关掉验证等于放弃中间人攻击防护，生产环境严禁使用
即使 ssl_verify = false，ssl_cert 和 ssl_key 仍必须提供，否则 MySQL 服务端若要求 REQUIRE X509，依然拒绝连接