企业级环境搭建MySQL时如何开启并配置SSL证书加密传输？-mysql教程-PHP中文网

mysql ssl 加载需先确认 have_ssl=yess，再验证 ssl_ca/cert/key 路径及 tls_version，require_secure_transport=on 为生产必需，证书须可信且权限严格，配置仅限 [mysqld] 段并重启生效。

企业级环境搭建mysql时如何开启并配置ssl证书加密传输？

确认 MySQL 是否真正加载 SSL 支持

很多企业环境卡在第一步：配置写了、证书放了、服务也重启了，SHOW VARIABLES LIKE 'have_ssl' 却返回 DISABLED。这不是配置没生效，而是 mysqld 启动时压根没加载 OpenSSL 模块——常见于 MariaDB 精简版、Alpine 镜像（用 WolfSSL 替代 OpenSSL）、或编译时漏掉 -DWITH_SSL=system。

必须执行：
SHOW VARIABLES LIKE 'have_ssl' → 值必须为 YES
SHOW VARIABLES LIKE 'ssl_ca'、ssl_cert、ssl_key → 三者都得返回非空的绝对路径
SHOW VARIABLES LIKE 'tls_version' → 应含 TLSv1.2 或 TLSv1.3，旧版本（如 MySQL 5.7）默认只支持 TLSv1.2

若 have_ssl = DISABLED，重装官方二进制包比自行编译修复更稳妥；别信“改了配置就等于开了 SSL”。

生成并部署生产级可信证书

企业环境严禁用 mysql_ssl_rsa_setup 生成的自签名证书——其 CA 是自签的，客户端连接时会报 X509 certificate has expired 或 self-signed certificate in certificate chain，无法通过严格校验。

推荐做法：

内网部署：自建私有 CA，用 openssl 签发，确保 subjectAltName 显式包含所有访问入口（如 IP:10.10.20.5、DNS:db-prod.internal）
公网/混合云：采购可信 CA（如 Let's Encrypt、Sectigo）签发的证书，CommonName 和 SAN 必须与客户端实际连接地址完全一致
证书统一存放在 /etc/mysql/ssl/，执行：
chown -R mysql:mysql /etc/mysql/ssl/
chmod 600 /etc/mysql/ssl/server-key.pem（MySQL 拒绝读取权限 >600 的私钥）
验证证书链完整性：openssl verify -CAfile ca.pem server-cert.pem 必须输出 OK

my.cnf 中必须写对的四行配置

SSL 配置写错段落、路径、或漏关键项，会导致静默降级为明文——你不会收到报错，但 Wireshark 一抓全是密码和 SQL。

MySQL（Linux）

MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。

下载

只在 [mysqld] 段添加以下四行（路径必须是绝对路径，不能用 ~/ 或相对路径）：

ssl_ca = /etc/mysql/ssl/ca.pem
ssl_cert = /etc/mysql/ssl/server-cert.pem
ssl_key = /etc/mysql/ssl/server-key.pem
require_secure_transport = ON

注意：

require_secure_transport = ON 不是可选开关，是生产底线——它拒绝所有非 SSL 连接，比仅靠用户权限更可靠
别把这几行写在 [client] 或 [mysql] 段，那是客户端配置，对服务端无效
MySQL 8.0+ 可追加 tls_version = TLSv1.2,TLSv1.3；5.7 不支持该参数
改完必须 systemctl restart mysqld（不是 reload），SSL 不支持热加载

验证是否真走加密连接

SHOW VARIABLES LIKE '%ssl%' 只告诉你“配了什么”，不代表当前连接已加密。真正要看的是连接态：

登录后立即执行：
STATUS 或 \s → 查看 SSL: 行，应显示类似 SSL: Cipher in use is TLS_AES_256_GCM_SHA384
SHOW STATUS LIKE 'Ssl_cipher' → 值非空才表示 TLS 握手成功
SHOW STATUS LIKE 'Ssl_version' → 应为 TLSv1.2 或 TLSv1.3

额外验证点：

用客户端强制禁用 SSL 测试：mysql --ssl-mode=DISABLED -u root -p → 应直接报错 Access denied（因 require_secure_transport = ON）
从库配置主从复制时，CHANGE REPLICATION SOURCE TO 必须显式指定 SOURCE_SSL_CA、SOURCE_SSL_CERT、SOURCE_SSL_KEY，且复制账号必须 REQUIRE SSL 并限定 IP
应用连接字符串里不能只写 ssl=true，必须传真实 CA 路径，否则失去防中间人能力