在MySQL中，默认情况下客户端与服务器之间的通信可能是明文传输，账号密码存在被嗅探的风险。通过配置SSL并配合REQUIRE SSL账户属性，可以强制指定用户只能使用加密连接登录，从而保障数据安全。
一、检查MySQL是否支持SSL
首先登录MySQL，执行如下命令查看SSL相关变量：
SHOW VARIABLES LIKE 'have_ssl'; SHOW VARIABLES LIKE 'ssl_%';
如果have_ssl的值为YES，说明编译时支持SSL；若为DISABLED，则需要在配置文件中启用。
二、生成SSL证书与密钥
MySQL自带openssl相关脚本，可使用mysql_ssl_rsa_setup快速生成所需文件：
# 进入MySQL数据目录 cd /var/lib/mysql mysql_ssl_rsa_setup --datadir=/var/lib/mysql
执行后会产生ca.pem、server-cert.pem、server-key.pem等文件，权限需保证MySQL进程可读。
三、服务端配置SSL
编辑MySQL配置文件（如/etc/my.cnf或/etc/mysql/mysql.conf.d/mysqld.cnf），在[mysqld]段添加：
[mysqld] ssl-ca=/var/lib/mysql/ca.pem ssl-cert=/var/lib/mysql/server-cert.pem ssl-key=/var/lib/mysql/server-key.pem
重启MySQL服务使配置生效：
systemctl restart mysqld
四、创建REQUIRE SSL账户
创建新用户并强制其使用SSL连接，可在CREATE USER语句中加入REQUIRE SSL：
CREATE USER 'secure_user'@'%' IDENTIFIED BY 'StrongPass123!' REQUIRE SSL; GRANT SELECT ON app_db.* TO 'secure_user'@'%'; FLUSH PRIVILEGES;
若需对已有用户添加该限制，使用ALTER USER：
ALTER USER 'old_user'@'%' REQUIRE SSL;
五、客户端使用SSL连接
客户端连接时需指定SSL参数，示例如下：
mysql -u secure_user -p --ssl-ca=ca.pem --ssl-cert=client-cert.pem --ssl-key=client-key.pem -h 192.168.0.1
登录后执行SHOW STATUS LIKE 'Ssl_cipher';，若返回非空值则说明连接已加密。
六、验证REQUIRE SSL生效
尝试不使用SSL登录该账户，服务器应拒绝连接：
mysql -u secure_user -p -h 192.168.0.1 --ssl-mode=DISABLED
ERROR 1045 (28000): Access denied for user 'secure_user'@'192.168.0.1' (using password: YES)
这表明REQUIRE SSL已正确限制账户只能通过加密通道访问。
七、常见问题
- 证书文件权限过宽会导致MySQL拒绝加载，建议属主为mysql用户且密钥权限为600。
- 若使用自签CA，客户端必须持有ca.pem才能验证服务端身份。
- 云环境需注意安全组放通3306端口同时绑定正确主机白名单。
通过上述步骤，即可完成MySQL的SSL强制安全连接与REQUIRE SSL账户配置，有效提升数据库访问安全性。
MySQLSSLREQUIRE_SSL修改时间：2026-07-28 02:45:11