必须显式启用tls并配置证书验证，仅设tls=true不安全；生产环境需搭配tlscafile指定可信ca，+srv虽默认启用tls但仍需手动传入tlscafile，否则因证书链不完整或san不匹配导致静默连接失败。
必须显式启用 TLS，且不能依赖 DNS 种子列表的默认行为——哪怕连接字符串里写了 mongodb+srv://，如果服务端没配 SRV 记录或证书链不完整，UseTls = true 仍可能静默失败。
连接字符串中强制启用 tls 参数
只写 tls=true 不够，必须搭配 tlsCAFile 或明确禁用验证（仅限测试）；否则驱动会因找不到可信 CA 而拒绝连接，而不是报错。
-
mongodb://host:27017/?tls=true&tlsCAFile=/path/to/ca.pem—— 生产唯一安全写法 -
mongodb://host:27017/?tls=true&tlsAllowInvalidCertificates=true—— 仅限本地开发，绕过证书校验 - 若用
mongodb+srv://，驱动默认设tls=true，但tlsCAFile仍需手动传入，否则验证失败
.NET 驱动中设置 UseTls 和 AllowInsecureTls
UseTls = true 只打开加密通道，不等于完成证书验证；AllowInsecureTls = true 才跳过主机名匹配、过期检查等——两者语义不同，混用易导致误判“连上了”实则未认证。
- 生产环境必须同时设
UseTls = true和SslSettings = new SslSettings { CaFile = "/path/to/ca.pem" } -
AllowInsecureTls = true时，CaFile可为空，但驱动仍会尝试加载系统 CA，可能意外失败 - 加载
.p12客户端证书时，必须确保X509Certificate2构造函数传入密码，且证书含私钥，否则握手直接中断
mongosh 命令行强制 TLS 的关键参数
--tls 单独使用几乎必然失败：它只开启 TLS，但不提供任何验证凭据。真正起作用的是 --tlsCAFile 和 --tlsCertificateKeyFile 的组合。
-
mongosh --host mydb.example.com --tls --tlsCAFile ca.pem—— 最小可行配置 -
--tlsCertificateKeyFile client.pem必须是 PEM 格式合并证书+私钥，或分开用--tlsCertificateKeyFile+--tlsCertificateKeyFilePassword - Windows/macOS 上用
--tlsCertificateSelector时，证书必须已导入系统证书存储，且私钥标记为“可导出”，否则 mongosh 拿不到密钥
最容易被忽略的是：TLS 启用后，客户端**不验证服务器证书就等于没启用安全连接**。很多问题表面是“连不上”，实际是 CA 文件路径错、权限不足（mongosh 读不到）、或证书 SAN 里没包含你连接用的 IP/域名——这些都不会报“TLS 错误”，而是静默超时或 EOF。
