TLS握手失败主因是DNS解析失败或防火墙拦截TLS出站连接，而非证书或凭据问题；需优先排查SRV记录查询（dig _mongodb._tcp.xxx.mongodb.net SRV）、切换公共DNS（如8.8.8.8）、放行node.exe及*.mongodb.net域名。
TLS 握手失败不是证书问题，而是 DNS 解析、防火墙拦截或连接串配置不匹配导致的静默降级——错误日志里出现 MongoServerSelectionError 或 ECONNRESET 时，90% 的真实原因是握手卡在 SRV 查询或 TLS 出站被拦，而非凭据或证书本身。
为什么 mongodb+srv:// 连接串会触发 TLS 握手失败
Atlas 强制使用 mongodb+srv:// 协议，它依赖 DNS 的 _mongodb._tcp SRV 记录自动发现节点和 TLS 设置。一旦本地 DNS 无法返回 SRV 记录（比如运营商 DNS 不支持、Docker 默认 DNS 不转发），Node.js 驱动就会 silently fallback 到非 TLS 模式尝试连接，结果在 TLS 握手阶段被 Atlas 拒绝，报错却显示为“认证失败”或直接卡住。
- 典型现象：
querySrv ENODATA错误先出现，但被忽略；后续报MongoServerSelectionError: getaddrinfo ENOTFOUND或无响应 - 验证方法：终端运行
dig _mongodb._tcp.cluster0-on1ek.mongodb.net SRV（把域名换成你的集群名），若无输出，就是 DNS 层失败 - 别改代码——优先换系统 DNS 为
8.8.8.8或1.1.1.1，macOS 执行sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder，Windows 运行ipconfig /flushdns
本地防火墙/代理如何静默破坏 TLS 握手
Atlas 不走固定端口，而是通过 SRV 记录获取随机 TLS 端口（常见为 27017、27015–27018），很多防火墙规则只放行已知服务端口，对 TLS SNI 域名（如 *.mongodb.net）或动态端口默认拦截，且不报错，只丢包。
- Windows 用户：进「Windows 安全中心 → 防火墙和网络保护 → 允许应用通过防火墙」，确保
node.exe在「专用」和「公用」网络都勾选 - macOS 用户：「系统设置 → 隐私与安全性 → 防火墙 → 防火墙选项」，确认
node在允许列表；若启用了「阻止所有传入连接」，需临时关闭测试 - 公司/学校网络：
curl -v https://cloud.mongodb.com能通，但node index.js卡住 → 极大概率是 IT 策略屏蔽了*.mongodb.net的 SNI 或证书链
连接选项里哪些参数会掩盖真实 TLS 问题
开发者常加 ?tls=false 或 ?ssl=false 快速绕过错误，但这会让驱动跳过整个 TLS 流程，直接走明文连接——Atlas 会拒绝，而错误可能变成模糊的 MongoParseError 或 Auth error，反而更难定位。
- 正确做法：保留
tls=true（默认开启），显式加serverSelectionTimeoutMS=5000缩短等待时间，避免挂起 - 不要手动设
socketTimeoutMS小于 5000 —— TLS 握手本身可能耗时 2–3 秒，设成 1000 会导致必然超时 - 检查驱动版本：
mongodb@6.x及以上才完整支持现代 TLS 1.2+ 和 SNI，mongoose@7.x底层用的就是它；旧版驱动可能 fallback 到不安全协议并被 Atlas 拒绝
真正棘手的点在于：TLS 握手失败往往没有明确错误指向 TLS，而是表现为连接延迟、静默卡死、或降级后的认证失败。DNS、防火墙、驱动版本这三环只要有一环没对上，就会让问题看起来像密码错了——但改十遍密码也没用。
