怎样在MySQL 5.7中正确配置SSL加密登录用户-mysql教程-PHP中文网

mysql 5.7 中 alter user ... require ssl 不生效的主因是服务端 ssl 未真正启用：have_ssl=no/disabled、ssl_ca等变量为空、证书路径非绝对或权限/属主错误（需mysql用户+600）、配置未写在[mysqld]段、未重启mysqld。

怎样在mysql 5.7中正确配置ssl加密登录用户

MySQL 5.7 中 `ALTER USER ... REQUIRE SSL` 不生效的常见原因

配置后仍能明文登录，基本不是语法错，而是服务端 SSL 根本没真正启用。have_ssl 显示 YES 也不代表就绪——它只说明 MySQL 编译时支持 SSL，不反映运行时证书加载状态。

ssl_ca、ssl_cert、ssl_key 变量值为空或路径不存在 → 证书未加载，REQUIRE SSL 自动失效
私钥文件（如 server-key.pem）属主不是 mysql 用户，或权限 >600 → mysqld 启动时静默跳过 SSL 初始化
配置写在 [client] 或 [mysql] 段，而非 [mysqld] → 完全无效
未重启 mysqld，仅执行 SET GLOBAL → 所有 SSL 相关变量均为只读，无法动态开启

生成并验证证书是否被 mysqld 正确加载

用 mysql_ssl_rsa_setup 是最稳的方式，但必须指定目标目录并确保权限干净：

先停库：systemctl stop mysqld
创建独立证书目录（不混入 datadir）：mkdir -p /etc/mysql/ssl && chown mysql:mysql /etc/mysql/ssl && chmod 700 /etc/mysql/ssl
生成证书：mysql_ssl_rsa_setup --datadir=/etc/mysql/ssl --uid=mysql
收紧私钥权限：chmod 600 /etc/mysql/ssl/server-key.pem && chown mysql:mysql /etc/mysql/ssl/server-key.pem

然后在 /etc/my.cnf 的 [mysqld] 段写死路径：

ssl-ca = /etc/mysql/ssl/ca.pem
ssl-cert = /etc/mysql/ssl/server-cert.pem
ssl-key = /etc/mysql/ssl/server-key.pem

重启后立刻验证：SHOW VARIABLES LIKE 'ssl%'; 确保三个路径非空；再执行 \s，看到 SSL: Cipher in use is ... 才算真正就绪。

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

用户级强制 SSL 的正确写法与验证方式

REQUIRE SSL 是最轻量也最可靠的客户端强制手段，但要注意它只对新连接生效，且不校验证书内容（只校验 TLS 握手成功）：

创建用户时直接加限制：CREATE USER 'appuser'@'10.20.%' REQUIRE SSL;
已有用户改限制：ALTER USER 'appuser'@'10.20.%' REQUIRE SSL;
必须配套 GRANT 权限，否则登录后无权做任何事：GRANT SELECT ON mydb.* TO 'appuser'@'10.20.%';

验证是否生效：用明文方式连接会直接报错 Access denied for user ... (using password: YES)（注意不是 SSL error），而加 --ssl-mode=REQUIRED 才能连上。别信客户端日志里 “SSL enabled” 字样——只有服务端拒绝明文连接，才算真正卡住入口。

客户端连接时容易忽略的降级陷阱

即使服务端配了 REQUIRE SSL，客户端不主动协商 TLS，连接依然会降级为明文（MySQL 5.7 默认行为）。这不是 bug，是设计：

命令行必须显式加参数：mysql -u appuser -p --ssl-mode=REQUIRED（--ssl 在 5.7 已弃用，行为不可靠）
JDBC URL 必须带 ?useSSL=true&requireSSL=true&verifyServerCertificate=true，且需提供 trustCertificateKeyStoreUrl
应用代码里若用 mysql_real_connect()，必须设 MYSQL_OPT_SSL_MODE 为 SSL_MODE_REQUIRED，不能只设 MYSQL_OPT_SSL_CA