mysql ssl加密连接需同时满足：服务端have_ssl=yes、require_secure_transport=on强制启用、用户权限含require ssl，缺一不可，否则静默降级为明文。
mysql_ssl_rsa_setup 生成证书后为什么还是明文连接？
因为只生成证书 ≠ 启用加密——MySQL 默认允许明文连接，即使证书就位，require_secure_transport = ON 不设，客户端照样走 TCP 明文进来。
-
mysql_ssl_rsa_setup只负责生成ca.pem、server-cert.pem、server-key.pem三个文件，不修改任何运行时策略 - 必须在
[mysqld]段显式添加require_secure_transport = ON，否则SHOW VARIABLES LIKE 'ssl_cipher'在新连接里永远为空 - 该配置项是“开关”，不是“可选建议”：设为
ON后，所有未带 SSL 参数的连接会直接被拒绝（报错ERROR 3159 (HY000): Connections using insecure transport are prohibited while --require_secure_transport=ON）
my.cnf 中 ssl-ca / ssl-cert / ssl-key 路径写错的典型表现
路径错误不会让 MySQL 启动失败，但会导致 SSL 初始化静默失败，SHOW VARIABLES LIKE 'ssl%' 显示全空或 have_ssl = DISABLED。
- 路径必须是绝对路径，不能用
~/或相对路径（如./ssl/ca.pem） - MySQL 进程用户（通常是
mysql）必须对证书文件有读权限：server-key.pem必须是-rw-------（600），否则加载失败且无明确报错 - 常见坑：把证书放在
/root/下，mysql用户无权读取；或路径拼错（比如写成/var/lib/mysql/server-key.pem，实际在/etc/mysql/ssl/） - 验证方式：
sudo -u mysql cat /your/path/server-key.pem 2>/dev/null || echo "读取失败"
如何确认当前连接真的用了 SSL？
SHOW VARIABLES LIKE '%ssl%' 只告诉你“服务器配了啥”，不是“你连上了啥”。真正判断依据是当前会话的加密状态。
- 执行
STATUS;或SELECT @@session.ssl_cipher;：返回非空字符串（如TLS_AES_256_GCM_SHA384）才表示本次连接已加密 -
SHOW STATUS LIKE 'Ssl_cipher';更直接，值非空即生效 - 如果用命令行客户端连，没加
--ssl-mode=REQUIRED，即使服务端强制加密，也会因客户端未声明而被拒，此时连都连不上，更别说查状态
Docker 或宝塔环境里证书路径容易被忽略的细节
容器或面板封装会改变文件可见性，证书路径必须映射到容器内或面板能识别的真实路径，且不能跨用户隔离边界。
- Docker 中：证书文件需通过
volumes挂载进容器，并确保my.cnf里写的路径与挂载目标一致（例如挂载到/etc/mysql/ssl/，配置就得写ssl-ca = /etc/mysql/ssl/ca.pem） - 宝塔中：证书别放
/www/wwwroot/或用户家目录，推荐统一放/www/server/panel/vhost/cert/mysql_ssl/，并确认该目录属主是mysql - 切忌改默认数据目录下的证书路径：MySQL 8.0+ 的
mysql_ssl_rsa_setup默认写入/var/lib/mysql/，若手动移到别处，又没同步更新my.cnf，就会“证书存在但不用”
require_secure_transport = ON 生效、客户端连接时明确要求加密。少一个环节，就只是看起来配了，实际上还是裸奔。
