必须强制主库启用ssl并设require_secure_transport=on，否则从库即使配置证书也会静默降级为明文连接；需在主库执行set persist require_secure_transport = on或my.cnf中配置并重启，且从库change replication source to必须传全source_ssl_ca等ssl参数，路径为从库本地文件系统路径，mysql进程需有读权限，selinux/apparmor可能拦截。
必须强制主库启用 SSL 并设 require_secure_transport=ON，否则从库即使配了证书也会静默降级为明文连接——密码、binlog 内容、SQL 全部裸奔。
主库不设 require_secure_transport=ON 就等于没开 SSL
只在 my.cnf 里配 ssl_ca、ssl_cert、ssl_key 不够。MySQL 仍会接受未加密的复制连接，SHOW VARIABLES LIKE 'have_ssl' 返回 YES 也不代表安全生效。
真正起效的只有：
- SET PERSIST require_secure_transport = ON（推荐，持久化且无需重启）
- 或在 my.cnf 中加 require_secure_transport=ON 并重启 mysqld
验证命令：SHOW VARIABLES LIKE 'require_secure_transport'，返回 ON 才算成功
从库 CHANGE REPLICATION SOURCE TO 必须传全 SSL 参数
漏掉任意一个，MySQL 就回退到明文，且 SHOW REPLICA STATUS\G 显示 Master_SSL_Allowed: No 却不报错——这是最常被忽略的坑。
必需参数（全部为从库本地路径）：
- SOURCE_SSL=1
- SOURCE_SSL_CA='/etc/mysql/ca.pem'（主库 CA，必须一致）
可选但强烈推荐（用于双向认证）：
- SOURCE_SSL_CERT='/etc/mysql/client-cert.pem'
- SOURCE_SSL_KEY='/etc/mysql/client-key.pem'
注意：路径是**从库文件系统路径**；MySQL 进程需有读权限；SELinux/AppArmor 可能拦截，查 ausearch -m avc -ts recent
caching_sha2_password 插件强制要求 SSL 连接
MySQL 8.0+ 默认认证插件是 caching_sha2_password，它在复制场景下会主动拒绝非 SSL 连接，错误码 MY-002061 就是这个原因。
不要回退到 mysql_native_password ——那是降级安全性，不是解法。
真正解决路径只有一条：
- 主库开 SSL + require_secure_transport=ON
- 从库连时带全 SSL 参数
- 复制账号权限最小化：REPLICATION SLAVE，禁用 REPLICATION CLIENT
证书配置最容易被忽略的三个细节
CA 文件必须和主库的 ssl_ca 完全一致，否则握手失败，报错 SSL error: certificate verify failed
证书不能复用：主库 server-cert 和从库 client-cert 不能用同一对私钥，否则用途冲突导致握手失败或验证绕过
主库只需提供服务端证书；从库若要双向认证，其 client-cert 必须由同一 CA 签发，且主库需加载该 CA 到 ssl_ca
