如何在phpMyAdmin多节点环境下安全管理SSL双向认证连接？-phpMyAdmin-PHP中文网

phpMyAdmin不支持多节点自动管理MySQL双向SSL，必须为每个$cfg['Servers'][$i]显式配置ssl、ssl_ca、ssl_cert、ssl_key、ssl_mode全套参数；服务端require_secure_transport=ON与用户REQUIRE SUBJECT须同步生效，否则静默报Access denied。

如何在phpmyadmin多节点环境下安全管理ssl双向认证连接？

phpMyAdmin 本身不支持在多节点环境下自动启用或管理 MySQL 的 SSL 双向认证（mTLS），必须为每个服务器单独、显式配置全套 SSL 参数，且服务端 require_secure_transport 和用户级 REQUIRE SUBJECT 必须同步生效；否则连接会静默失败，报错却显示 Access denied for user，而非明确的 SSL 错误。

每个 $cfg['Servers'][$i] 必须填满全部 SSL 键，不能只设 `ssl = true`

phpMyAdmin 不继承、不默认补全、不提示缺失项。漏掉 ssl_ca、ssl_cert、ssl_key 或 ssl_mode 中任意一个，整个 SSL 配置就退化为明文连接，且无任何警告。

$cfg['Servers'][$i]['ssl'] 必须是布尔值 true（不能是字符串 "true" 或整数 1）
$cfg['Servers'][$i]['ssl_ca'] 指向该 MySQL 实例专属的 CA 证书绝对路径（如 /etc/pma/certs/rds-shanghai.pem），云数据库不可复用其他实例证书
$cfg['Servers'][$i]['ssl_cert'] 和 $cfg['Servers'][$i]['ssl_key'] 必须成对出现，即使服务端未要求客户端证书，也要设为空字符串或 null
$cfg['Servers'][$i]['ssl_mode'] 推荐设为 VERIFY_IDENTITY（不是 REQUIRED），尤其对接阿里云 RDS、腾讯云 CDB 等云服务时

服务端 `require_secure_transport = ON` 是双向认证的硬门槛

没有这一步，所有客户端 SSL 配置都无效——MySQL 仍允许非加密连接，REQUIRE SUBJECT 根本不会触发校验。它和 phpMyAdmin 的 ssl_mode 完全无关，是独立的服务端强制策略。

必须写在 MySQL 的 [mysqld] 段中，重启后执行 SELECT @@require_secure_transport; 确认返回 ON
若某台服务器没开此选项，而你又在 phpMyAdmin 里配了 ssl = true，连接可能成功但走的是明文，你以为安全了，其实没有
检查所有节点一致性：同一套 phpMyAdmin 配置下，不同 MySQL 实例的 require_secure_transport 值可能不同，导致部分节点连得上、部分报 SSL error

客户端证书 DN 必须与 `REQUIRE SUBJECT` 逐字匹配

服务端创建用户时用的 REQUIRE SUBJECT 值，必须和客户端证书的 Subject 字段完全一致，包括空格、斜杠顺序、大小写。不匹配时，MySQL 直接拒绝登录，错误信息仍是模糊的 Access denied。

SSL Certificate Checker

SSL/TLS 证书到期检查器和域名健康监控。检查证书到期、颁发者信息、SAN 条目及证书链有效性，适用于单个或多个域名。

下载

用命令确认客户端证书 Subject：openssl x509 -in client-cert.pem -subject -noout
创建用户语法必须是：CREATE USER 'u'@'%' REQUIRE SUBJECT '/CN=client1/O=myorg';
GRANT 或 ALTER USER 无法追加或修复 REQUIRE SUBJECT；一旦写错，只能 DROP USER 重建
私钥文件权限必须为 600，PHP 进程需有读取权限，否则 phpMyAdmin 初始化 PDO 时会静默失败

多节点配置必须用循环生成，避免索引断档或语法错误

手动写 $cfg['Servers'][1]、$cfg['Servers'][2] 极易因索引跳号、漏分号、引号不闭合等问题，导致 phpMyAdmin 在遍历时直接中止加载——后续所有服务器都不会出现在登录页下拉列表中。

索引必须从 1 开始连续递增，不能用 0 或中间跳过（如只有 [1] 和 [3]）
每个节点子数组必须含 'host'（或 'socket'）和 'auth_type' => 'cookie'，缺一不可
推荐结构：$hosts = [1 => ['host' => 'db1.example.com', 'ssl_ca' => '/path/to/ca1.pem'], 2 => [...]];，再用 foreach 统一赋值
别在配置块中混写 PHP 注释（如 // server 1），PHP 解析器会将其当字符串拼入数组，引发语法错误

最易被忽略的点是：phpMyAdmin 的 SSL 配置只影响连接建立阶段，它不参与服务端对客户端证书的校验逻辑；真正决定双向认证是否生效的，是 MySQL 的 require_secure_transport + 用户 REQUIRE SUBJECT + 客户端传入的 PEM 文件三者是否严丝合缝。任何一个环节松动，安全链条就断了，而且断得悄无声息。