mysql ssl加密生效需同时满足：have_ssl为yes，ssl_ca、ssl_cert、ssl_key指向可读绝对路径；服务端配置在[mysqld]段并重启；用户须require ssl且客户端指定--ssl-mode=required。
have_ssl 必须为 YES，且 ssl_ca、ssl_cert、ssl_key 三项都得指向可读的绝对路径——否则连接仍是明文，抓包工具（如 Wireshark）能直接看到密码和 SQL 内容。
确认 MySQL 是否真支持并启用了 SSL
别只看“有没有配置”，要验证运行时状态：
登录 MySQL 后执行：SHOW VARIABLES LIKE '%ssl%';
重点检查三项：
• have_ssl 值必须是 YES（不是 DISABLED 或空）
• ssl_ca、ssl_cert、ssl_key 必须显示非空的**绝对路径**（如 /var/lib/mysql/ca.pem），不能是相对路径或注释掉的行
• 如果任一值为空或路径不可读（比如权限不对、属主不是 mysql 用户），MySQL 会静默忽略 SSL 配置，have_ssl 仍可能显示 YES，但实际不生效
用 mysql_ssl_rsa_setup 生成证书最不容易出错
MySQL 8.0+ 自带这个工具，专为避免 OpenSSL 手动流程中的常见坑而设计：
• 先确保数据目录归属正确：cd /var/lib/mysql && chown mysql:mysql .
• 再运行：mysql_ssl_rsa_setup --datadir=/var/lib/mysql --uid=mysql
• 它会生成 ca.pem、server-cert.pem、server-key.pem —— 这三个就是服务端必需的全部文件
• 注意：client-cert.pem 和 client-key.pem 默认不生成；除非你明确需要双向认证（即客户端也提供证书），否则不用管它们
• 生成后立刻检查权限：ls -l /var/lib/mysql/*.pem，server-key.pem 必须是 -rw-------（600），且属主为 mysql
my.cnf 配置写在 [mysqld] 段且必须重启服务
配置只写对位置还不够，很多问题卡在这一步：
• 只能在 [mysqld] 段写，不能放在 [client] 或 [mysql] —— 那些只影响客户端命令行工具
• 路径必须是绝对路径，例如：ssl-ca = /var/lib/mysql/ca.pemssl-cert = /var/lib/mysql/server-cert.pemssl-key = /var/lib/mysql/server-key.pem
• 不要加引号，不要用 ./ 或 ~/，MySQL 不解析 shell 路径语法
• 修改后必须执行 systemctl restart mysqld（不是 reload），因为 SSL 参数只在启动时加载
• 重启失败？常见原因是 server-key.pem 权限不是 600，或者文件被 SELinux/ AppArmor 拦截
强制用户走加密连接并验证是否真加密
服务端配好 ≠ 连接就加密。用户账号必须显式要求 SSL，否则默认仍走明文：
• 创建新用户：CREATE USER 'app'@'10.0.2.%' IDENTIFIED BY 'pwd' REQUIRE SSL;
• 修改已有用户：ALTER USER 'app'@'10.0.2.%' REQUIRE SSL;
• 连接后立刻验证：SHOW STATUS LIKE 'Ssl_cipher'; —— 返回非空值（如 ECDHE-ECDSA-AES256-SHA）才表示当前连接正在加密
• 容易被忽略的一点：即使服务端开了 SSL、客户端没指定 --ssl-mode=REQUIRED，连接也能成功，但走的是明文——REQUIRE SSL 是唯一能堵住这条后门的手段
REQUIRE SSL + --ssl-mode=REQUIRED 这一对组合；中间任何一环松动，Wireshark 就能照单全收。证书路径权限、配置段落、重启动作，这三个地方出错率最高。
