如何在MySQL 8.0中配置双向SSL认证以保障通信安全-mysql教程-PHP中文网

MySQL 8.0双向SSL认证必须同时满足require_secure_transport=ON、CREATE USER时用REQUIRE SUBJECT精确绑定客户端证书DN、客户端显式传--ssl-mode=REQUIRED及--ssl-ca/--ssl-cert/--ssl-key；缺一即静默报Access denied。

如何在mysql 8.0中配置双向ssl认证以保障通信安全

MySQL 8.0 的双向SSL认证不是“配完证书就自动生效”，必须同时满足服务端强制、用户级证书绑定、客户端显式传参三者，缺一不可；否则连接会静默失败，报 Access denied for user，而非明确的 SSL 错误。

require_secure_transport = ON 是硬性守门员

它必须写在 [mysqld] 段，重启后执行 SHOW VARIABLES LIKE 'require_secure_transport'; 确认返回 ON。设为 OFF 或注释掉，就退化为普通连接——此时所有 SSL 配置都无效。

ssl_mode = REQUIRED 是客户端行为，服务端完全不读这个值，别把它和 require_secure_transport 混淆。

证书路径必须是绝对路径：ssl_ca = /var/lib/mysql/ca.pem，不能用 ~/ 或相对路径
MySQL 启动时不会因证书路径错而报错，但 Ssl_cipher 始终为空，日志里只有静默失败
若用 mysql_ssl_rsa_setup 生成证书，记得加 --uid=mysql，避免权限问题

CREATE USER 必须用 REQUIRE SUBJECT，不能靠 GRANT 补救

只写 REQUIRE SSL 或 REQUIRE X509 只能做基础校验；生产环境必须用 REQUIRE SUBJECT 绑定客户端证书的 DN 字段，否则无法实现身份精确控制。

SUBJECT 值必须与 openssl x509 -in client-cert.pem -subject -noout 输出**逐字一致**：空格、斜杠顺序、大小写都不能差。

MySQL8 CRM Schema Design Expert

面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。

下载

正确语法：CREATE USER 'u'@'%' REQUIRE SUBJECT '/CN=client1/O=myorg';
GRANT ... REQUIRE X509 无效；ALTER USER 'u'@'%' REQUIRE SUBJECT '' 会清空之前所有 REQUIRE 条件，不是追加
切勿给 root 用户配 REQUIRE SUBJECT，一旦证书路径错或失效，可能彻底锁死管理入口

mysql 命令行客户端必须显式传三个 PEM 文件

它不读 my.cnf 的 [client] 段，漏掉任一参数，错误表现通常是 Access denied for user，而不是明确的 SSL 错误。

最小必要组合：mysql --ssl-mode=REQUIRED --ssl-ca=ca.pem --ssl-cert=client-cert.pem --ssl-key=client-key.pem -u u -p
--ssl-cert 和 --ssl-key 必须成对出现；私钥不能加密（生成时用了 -nodes），否则客户端无法加载
ca.pem 在客户端和服务端必须是同一份；若服务端用了中间 CA，客户端也得把根 CA + 中间 CA 拼进一个 ca.pem 里
Linux 上证书文件权限必须是 600，否则 mysql 命令拒绝读取

ThinkPHP 等应用客户端要用 PDO 标准属性名

ThinkPHP 不识别 sslca、sslcert 这类简写，必须用标准 PDO 属性名，且路径要用绝对路径。

正确写法（PDO DSN 中）：sslca=/absolute/path/to/ca.pem&sslcert=/absolute/path/to/client-cert.pem&sslkey=/absolute/path/to/client-key.pem
路径不能用 ./ 或 ../，也不能依赖 __DIR__ 动态拼接，必须是启动时可解析的绝对路径
若用 Laravel 或其他框架，同样需确认其数据库驱动是否透传这些参数；有些封装层会过滤掉非标准键名

最容易被忽略的是：服务端证书的 subjectAltName（尤其是 IP 地址）必须匹配客户端连接所用地址，否则握手会在验证阶段失败，且错误常被掩盖为认证失败——查 openssl s_client -connect 127.0.0.1:3306 -CAfile ca.pem -cert client-cert.pem -key client-key.pem 能提前暴露这类问题。