mysql 8.4双向ssl必须用require x509并配齐ssl_ca/ssl_cert/ssl_key，仅require ssl为单向；证书需含正确san，客户端须用--ssl-mode=verify_identity，否则静默降级。
MySQL 8.4 LTS 双向SSL必须用 require X509 而非 require SSL
只配 require SSL 是单向认证，客户端不验证服务器证书，服务器也不验客户端——这根本不是“双向”。真要双向，用户账户必须显式声明 require X509，且服务端需启用 ssl_ca、ssl_cert、ssl_key 三项参数。漏掉任意一个，CREATE USER ... REQUIRE X509 会静默降级为普通密码登录，连错误都不报。
-
require SSL：只要求加密通道，不校验证书有效性，攻击者中间人劫持后可伪造证书继续通信 -
require X509：强制客户端提供有效证书，且该证书必须由服务端ssl_ca指定的 CA 签发 - MySQL 8.4 默认禁用
mysql_native_password，若客户端仍用旧驱动（如老版 MySQL Connector/J 8.0.22 之前），即使证书正确也会报Authentication plugin 'caching_sha2_password' cannot be loaded
生成证书时 subjectAltName 必须包含 IP 或 DNS，否则连接失败
MySQL 8.4 的 OpenSSL 后端（默认使用 OpenSSL 3.0+）严格校验证书 SAN 字段。如果服务端证书没写 subjectAltName = DNS:db.example.com,IP:10.0.1.5，哪怕 CommonName 对得上，客户端用 mysql -h 10.0.1.5 连接也会报 SSL connection error: SSL_CTX_set_verify_depth not supported（实际是证书校验失败的误导性错误）。
- 生成私钥和 CSR 时，必须用配置文件指定 SAN，不能只靠命令行参数
- OpenSSL 配置示例片段：
subjectAltName = DNS:mydb.local,IP:192.168.100.10,IP:::1（IPv6 也要显式列出） - MySQL 客户端连接时，
-h参数值必须与证书中某个 SAN 条目完全一致；用localhost连却配了127.0.0.1证书？不行
mysqld 启动时 SSL 参数路径必须绝对且可读，且不能是符号链接
MySQL 8.4 LTS 在 systemd 下启动时，工作目录是根目录 /，所有相对路径都会解析失败。更隐蔽的是：如果证书文件是通过 ln -s 指向真实位置，OpenSSL 3.0+ 会拒绝加载（报 SSL error: error:0A000086:SSL routines::certificate verify failed），必须用真实物理路径。
- 推荐路径写法：
ssl_ca = /etc/mysql/ssl/ca.pem（绝对路径，无软链） - 检查权限：
mysql用户必须对整个路径有x权限（即能进入目录），且对文件有r权限；chmod 644文件 +chmod 755目录 - 验证是否加载成功：
mysql -u root -e "SHOW VARIABLES LIKE 'have_ssl';"返回YES；再查"SHOW STATUS LIKE 'Ssl_version';"确认协议版本
客户端连接时 --ssl-mode=VERIFY_IDENTITY 是双向安全底线
只加 --ssl-ca 不够，它只保证证书由可信 CA 签发，但不校验域名/IP 是否匹配。真正防中间人，必须用 --ssl-mode=VERIFY_IDENTITY（MySQL 8.0+ 引入，8.4 默认行为仍是 PREFERRED）。这个模式下，客户端会比对证书 SAN 和连接目标主机名/IP，不一致直接断开。
- 错误示范：
mysql --ssl-ca=ca.pem -h 10.0.1.5→ 仅校验签名，不校验主体 - 正确写法：
mysql --ssl-ca=ca.pem --ssl-cert=client.pem --ssl-key=client-key.pem --ssl-mode=VERIFY_IDENTITY -h 10.0.1.5 - 应用代码里（如 Python mysql-connector-python），必须显式设
ssl_disabled=False且传入ssl_verify_identity=True，否则默认跳过主体校验
REQUIRE X509 就万事大吉，但只要客户端没传证书、或证书 CN/SAN 不匹配、或服务端没配 ssl_ca，MySQL 8.4 就会悄悄回退到非 SSL 密码登录——它不会报错，只会静默降级。务必用 SELECT current_user(), ssl_cipher FROM performance_schema.session_connect_attrs WHERE processlist_id = CONNECTION_ID(); 实时确认连接真实状态。
