在默认情况下，MySQL客户端与服务器之间传输的数据是明文的，包括账号密码与业务数据都可能被网络中的嗅探设备捕获。使用SSL/TLS加密MySQL连接，能够在传输层建立一条加密通道，防止中间人攻击与数据泄露。本文将从证书准备、服务端配置、客户端连接以及常见问题几个方面，详细说明如何完整地启用这一机制。
一、理解MySQL中的SSL/TLS角色
MySQL的SSL/TLS实现基于标准的X.509证书体系。通常我们需要三类文件：证书颁发机构（CA）的证书、服务器证书以及服务器私钥。CA证书用来验证对方身份是否可信，服务器证书由CA签发并包含服务端身份，私钥则必须严格保密且仅服务端持有。客户端在连接时，可以选择是否校验这些证书。
从协议层面看，MySQL在握手阶段协商是否启用SSL。如果服务端开启了SSL支持，客户端发送CAPABILITY标志表明自己支持加密，随后双方通过TLS握手交换密钥，之后的认证与查询均在加密通道中完成。需要特别区分的是，加密并不等于一定认证了身份，只有在客户端显式校验CA时才能避免连接到伪造的服务端。
二、生成并配置服务端证书
最简单的方式是使用MySQL自带的mysql_ssl_rsa_setup工具，它会在数据目录下生成所需的CA与服务器文件。如果是手动生成，可以用openssl创建CA，再签署服务器证书。下面是一段使用openssl生成自签名CA与服务器证书的示例脚本：
# 生成CA私钥与自签名证书 openssl genrsa 2048 > ca-key.pem openssl req -new -x509 -nodes -days 3650 -key ca-key.pem -out ca-cert.pem # 生成服务器私钥与证书请求 openssl req -newkey rsa:2048 -nodes -keyout server-key.pem -out server-req.pem openssl x509 -req -in server-req.pem -days 3650 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem
生成后，需将ca-cert.pem、server-cert.pem、server-key.pem放到安全目录，例如/etc/mysql/ssl/，并确保私钥文件权限为600且属主为mysql用户。若权限过宽，MySQL会拒绝加载并报错，这是常见的排错点之一。
接着在MySQL服务端配置文件my.cnf的[mysqld]段落中指定这些路径：
[mysqld] ssl-ca = /etc/mysql/ssl/ca-cert.pem ssl-cert = /etc/mysql/ssl/server-cert.pem ssl-key = /etc/mysql/ssl/server-key.pem # 可选：强制所有连接使用TLS1.2及以上 tls_version = TLSv1.2,TLSv1.3
重启MySQL后，可用SHOW VARIABLES LIKE 'have_ssl';确认值为YES，表示SSL已就绪。此时服务端已具备接受加密连接的能力，但并未强制客户端必须使用。
三、客户端如何启用加密连接
命令行客户端可以在连接时通过参数控制SSL行为。MySQL 5.7之后引入ssl-mode概念，常用值有DISABLED、PREFERRED、REQUIRED、VERIFY_CA、VERIFY_IDENTITY。下面示例要求加密且校验CA：
mysql -h 192.168.0.1 -u appuser -p --ssl-mode=VERIFY_CA --ssl-ca=/path/to/ca-cert.pem
在应用程序中，以Java的JDBC为例，连接串可加入useSSL与trustCertificateKeyStoreUrl等属性；而Python的pymysql则通过ssl参数传入CA文件。无论哪种语言，核心都是让驱动加载CA证书并开启验证。如果仅设REQUIRED而不验CA，虽能加密但无法防冒充，生产环境建议至少VERIFY_CA。
当使用ORM或连接池时，也要确认其底层驱动版本支持所用TLS版本。部分老驱动默认只用TLS1.0，若服务端禁用了旧版，会出现握手失败。此时需升级驱动或在服务端放宽tls_version，但后者会降低安全性，应优先升级客户端。
四、验证连接是否真正加密
连上之后，可以在会话中执行状态查询来确认当前连接属性：
SELECT @@ssl_cipher, @@protocol_version, @@tls_version; SHOW STATUS LIKE 'Ssl_cipher';
若Ssl_cipher返回非空字符串，说明该连接已处于加密状态。也可以在服务端通过SHOW PROCESSLIST;观察各连接的SSL列。对于强制策略，可在创建用户时限定：
CREATE USER 'secure_user'@'%' IDENTIFIED BY 'password' REQUIRE SSL;
这样该账号只能以加密方式登录。结合REQUIRE X509还可进一步要求客户端提供由CA签名的证书，实现双向认证，适合高安全场景。
五、常见故障与处理建议
实践中最常遇到的是文件权限问题：MySQL进程无法读取私钥会导致启动失败，日志中提示SSL error。用chown mysql:mysql与chmod 600修正即可。其次是证书主体名称不匹配，当使用VERIFY_IDENTITY时，证书CN或SAN必须与实际连接的主机名一致，连127.0.0.1也需用IP类型SAN。
另一个隐蔽问题是中间网络设备或代理不支持长TLS会话，造成偶发断开。可通过调大wait_timeout或让连接池做心跳缓解。性能方面，TLS握手会带来轻微延迟，但对常规业务影响有限；若每秒新建连接极多，建议启用连接复用或减少短连接。
| ssl-mode值 | 是否加密 | 是否验CA | 适用场景 |
|---|---|---|---|
| DISABLED | 否 | 否 | 内网可信环境调试 |
| REQUIRED | 是 | 否 | 防窃听但免证书管理 |
| VERIFY_CA | 是 | 是 | 多数生产环境 |
| VERIFY_IDENTITY | 是 | 是且验主机 | 高安全防冒充 |
通过上述步骤，开发者可以顺利为MySQL客户端与服务器之间的通信加上SSL/TLS保护。从证书生成、服务端设定到客户端连接策略，每一步都需关注路径、权限与版本兼容，才能在保障安全的同时维持系统稳定。