mysql双向ssl认证必须同时满足三条件：require_secure_transport=on（服务端强制）、create user时用require subject精确绑定客户端证书dn、客户端显式传--ssl-mode=required及--ssl-ca/--ssl-cert/--ssl-key；缺一不可，否则报access denied而非明确ssl错误。
MySQL双向SSL认证不是配完证书就自动生效的，必须同时满足服务端强制、用户级证书约束、客户端显式传参三者，缺一不可；否则连接会静默失败，报错却显示Access denied for user，而不是明确的SSL错误。
require_secure_transport=ON 是硬性守门员，不是可选项
没这一步，所有SSL配置都白搭——非SSL连接仍能成功，REQUIRE SUBJECT根本不会触发校验。它必须写在my.cnf的[mysqld]段，重启MySQL后执行SHOW VARIABLES LIKE 'require_secure_transport';确认返回ON。
-
ssl_mode = REQUIRED是客户端行为，服务端完全不读这个值，别把它和require_secure_transport混淆 - 设成
OFF或注释掉，就退化为普通连接 - 若服务端启用了
ssl_crl（证书吊销列表），但没配对应文件路径，会导致部分合法证书被误拒
CREATE USER 必须用 REQUIRE SUBJECT，不能靠 GRANT 或 ALTER USER 补救
只写REQUIRE SSL或REQUIRE X509只能做基础校验，生产环境必须用REQUIRE SUBJECT绑定客户端证书DN字段，否则无法实现身份精确控制。
- SUBJECT值必须与
openssl x509 -in client-cert.pem -subject -noout输出逐字一致：空格、斜杠顺序、大小写都不能差 - 语法必须是
CREATE USER 'u'@'%' REQUIRE SUBJECT '/CN=client1/O=myorg';，GRANT ... REQUIRE X509无效 -
ALTER USER 'u'@'%' REQUIRE SUBJECT ''会清空之前所有REQUIRE条件，不是追加 - 切勿给
root用户配REQUIRE SUBJECT，一旦证书路径错或失效，可能彻底锁死管理入口
mysql命令行客户端必须显式传三个 PEM 文件，不读 my.cnf 的 [client] 段
漏掉任一参数，错误表现通常是Access denied for user，而不是明确的SSL错误——因为服务端在校验失败后直接拒绝认证，不提示原因。
- 最小必要组合：
mysql --ssl-mode=REQUIRED --ssl-ca=ca.pem --ssl-cert=client-cert.pem --ssl-key=client-key.pem -u u -p -
--ssl-cert和--ssl-key必须成对出现；私钥不能加密（生成时用了-nodes），否则客户端无法加载 -
ca.pem在客户端和服务端必须是同一份；若服务端用了中间CA，客户端也得把根CA + 中间CA拼进一个ca.pem里 - Linux上证书文件权限必须是
600，否则mysql命令拒绝读取
最容易被忽略的是：服务端ssl_ca路径指向的CA文件，必须包含签发客户端证书的那个CA（即你用ca.pem签的client-cert.pem），而不是只放服务器自己的CA；否则REQUIRE SUBJECT校验会静默失败，连错误日志都不留痕迹。
