根本原因是tls协议版本、密码套件或证书校验逻辑不匹配导致握手中断；mysql 5.7.29等低版本客户端因libmysqlclient仅支持tlsv1.0/1.1，无法与mysql 8.0+强制要求的tlsv1.2+协商成功，引发error 2026。
根本原因不是“SSL坏了”，而是客户端和服务端在建立加密通道前，连“用哪种语言说话”都没达成一致——TLS协议版本、密码套件、证书校验逻辑三者中任一不匹配，握手就直接中断。
mysql命令行报 error 2026 (HY000): SSL connection error
这是低版本客户端（如 MySQL 5.7.29 及更早）连接 MySQL 8.0+ 服务端时最典型的失败现象。关键点在于：libmysqlclient 静态链接的 OpenSSL 版本太老，只支持 TLSv1.0/TLSv1.1，而服务端强制要求 TLSv1.2+。
- 只加
--ssl-mode=REQUIRED没用——它只要求加密，不校验证书，但服务端若设了require_secure_transport=on，仍会因协议不兼容拒绝握手 -
--ssl-mode=VERIFY_IDENTITY必须配合--ssl-ca=/path/to/ca.pem，且路径必须是绝对路径；~或相对路径在某些 shell 下会静默失效 - 云数据库（如阿里云 RDS、AWS RDS）必须用控制台下载的专用 CA 包，例如
RDS-Global-Bundle.pem，不能用本地mysql_ssl_rsa_setup生成的证书
JDBC 连接抛 javax.net.ssl.SSLHandshakeException
Java 应用里这个异常几乎都卡在证书加载或 TLS 协议协商环节，和驱动版本、JVM 版本、URL 参数三者强相关。
- JDBC URL 必须显式传入
trustCertificateKeyStoreUrl和trustCertificateKeyStorePassword，仅靠sslMode=REQUIRED不触发证书校验 - Java 8u151 之前版本默认不启用 TLSv1.2，而 MySQL 8.0+ 默认只接受 TLSv1.2，需升级 JDK 或在 URL 加
enabledTLSProtocols=TLSv1.2 - 若用 PEM 格式 CA 文件，JDBC 驱动（8.0.28+）支持
sslTrustCertificate参数，但旧版驱动必须先转成 JKS，并用默认密码changeit
PDO 或 DBeaver 连接失败但没明显错误提示
这类工具常因配置项名称不统一或默认行为隐蔽导致“看似配了，实则没生效”。
- PDO 的
ssl_mode=REQUIRED不校验证书，必须用ssl_mode=VERIFY_IDENTITY，且PDO::MYSQL_ATTR_SSL_CA必须指向完整 bundle（Alpine 容器里常缺/etc/ssl/certs/ca-certificates.crt） - DBeaver 的
sslTrustCertificate值必须填绝对路径，不能是相对路径或 URL；同时要确认useSSL=true和sslMode=REQUIRED同时启用 - PHP 进程用户（如
www-data）对 CA 文件无读权限时，PDO 会静默失败，建议 chmod 644 并检查open_basedir是否限制了路径
真正容易被忽略的是：证书更新后，JVM 或 Docker 容器里的旧证书缓存不会自动刷新，JDBC 驱动甚至可能复用已关闭的 SSL 上下文。换完 CA，记得清空 $JAVA_HOME/jre/lib/security/cacerts 缓存，或重启容器。否则你会看到“明明配对了，还是报 unknown ca”。
