如何在MySQL 8.0中强制所有客户端启用SSL连接-mysql教程-PHP中文网

MySQL强制SSL需同时满足：服务端证书运行就绪（ssl_ca/cert/key为绝对路径且权限正确）、require_secure_transport=ON并重启生效、客户端显式指定--ssl-mode=REQUIRED；任一缺失均静默降级明文。

如何在mysql 8.0中强制所有客户端启用ssl连接

必须同时满足三个条件：服务端证书加载成功（have_ssl = YES）、全局开启强制开关（require_secure_transport = ON）、客户端显式声明 TLS 意图（如 --ssl-mode=REQUIRED）；缺一就会降级为明文连接，且不报错。

确认 `have_ssl` 真实启用，不是“编译支持”而是“运行就绪”

很多人执行 SHOW VARIABLES LIKE 'have_ssl'; 看到 YES 就以为完事了，其实这只是说明 MySQL 编译时带了 OpenSSL 支持。真正关键的是它是否能读取并加载证书文件。

检查 ssl_ca、ssl_cert、ssl_key 三个变量是否为非空的**绝对路径**：SHOW VARIABLES LIKE 'ssl_%';
路径必须是 MySQL 进程（通常是 mysql 用户）可读的，server-key.pem 权限必须是 -rw-------（600），属主为 mysql
SELinux 或 AppArmor 常静默拦截——临时执行 setenforce 0 后再查 have_ssl，若变为 YES，就是权限策略在挡路
别把证书丢进 /etc/mysql/ 就不管了；mysqld 默认只从数据目录或 my.cnf 中显式指定的路径加载

配置 `require_secure_transport = ON` 并重启 mysqld

这个变量才是“强制所有 TCP 连接走 SSL”的总开关。它不支持热加载，改完必须完整重启服务，reload 无效。

在 [mysqld] 段落中写入：
require_secure_transport = ON
ssl_ca = /var/lib/mysql/ca.pem
ssl_cert = /var/lib/mysql/server-cert.pem
ssl_key = /var/lib/mysql/server-key.pem
路径必须绝对，不能用 ./ca.pem、不能是软链接、不能含环境变量（如 $DATADIR）
重启后立即验证：SELECT @@GLOBAL.require_secure_transport; 应返回 ON；SHOW STATUS LIKE 'Ssl_cipher'; 应非空
如果 ssl_ca 等仍为空，去错误日志看具体加载失败原因：tail -n 20 /var/log/mysql/error.log

客户端必须主动发起 SSL 握手，不能依赖服务端“拉一把”

哪怕服务端设了 require_secure_transport = ON，MySQL CLI、JDBC、pymysql 等默认仍尝试明文连接——它们根本不会发 Client Hello。结果不是证书错误，而是直接 Access denied。

kashen-mysql DDLtoExcel

解析 MySQL 8.0 的 DDL 脚本，并将表结构导出为 Excel 格式。适用于用户需将 MySQL 的 `CREATE TABLE` 语句转换为结构化的 Excel 文件场景，导出内容包含字段名、数据类型、长度及精度等信息。支持多张表的批量处理，每张表对应 Excel 中的一个独立工作表。适用于数据库文档编写、数据字典生成及模式分析等任务。

下载

命令行连接必须加：mysql -u user -p --ssl-mode=REQUIRED；--ssl 或 --ssl-mode=PREFERRED 会自动降级，无法验证是否真加密
JDBC URL 必须包含：&sslMode=REQUIRED&enabledTLSProtocols=TLSv1.2；旧版驱动用 useSSL=true 是无效的，且可能和 caching_sha2_password 插件冲突
测试务必用 127.0.0.1 或远程 IP，localhost 走 Unix socket，完全绕过 SSL 校验
自签名证书下慎用 --ssl-mode=VERIFY_IDENTITY，因为 CN 通常为 localhost，与实际连接地址不一致会导致拒绝

常见失败现象与对应排查点

连不上、报错模糊、看似成功实则明文——这些都不是偶然，背后有明确线索。

Access denied for user：大概率是 require_secure_transport = ON 已生效，但客户端没加 --ssl-mode=REQUIRED
SSL connection error: protocol version mismatch：服务端 tls_version 和客户端支持的 TLS 协议不匹配，查 SELECT @@GLOBAL.tls_version;，必要时调整为 TLSv1.2
SSL_CTX_set_default_verify_paths failed：SELinux/AppArmor 拦截，或证书路径不可读，不是证书内容问题
have_ssl = DISABLED 且 ldd $(which mysqld) | grep ssl 无输出：MySQL 编译时未启用 SSL，需重装或换发行版包