在MySQL中启用SSL连接，核心目标是让服务端和客户端之间的通信内容经过加密，避免账号、查询语句与结果集在链路中被窃听或篡改。默认安装的MySQL往往没有开启强制SSL，很多实例虽然编译时支持SSL，但配置文件中并未指定证书路径，导致连接实际上是明文。要实现可靠的加密通信，我们需要自己生成一套证书体系，并在服务端和客户端分别配置。
一、生成SSL证书与密钥
MySQL的SSL机制依赖X.509证书体系，通常包含CA根证书、服务端证书和客户端证书。我们可以使用openssl工具在服务器本地生成自签证书。虽然生产环境建议使用企业内部CA或商业CA签发，但自签证书足以完成加密功能，只是客户端需要手动信任该CA。
下面是一段生成CA、服务端和客户端证书的示例脚本，执行后会在当前目录产出多个pem文件。请注意服务端证书的公用名可以不限制，但客户端连接时如果开启了主机校验，则需与连接地址匹配。
# 生成CA私钥与自签根证书 openssl genrsa 2048 > ca-key.pem openssl req -new -x509 -nodes -days 3650 -key ca-key.pem -out ca-cert.pem -subj "/CN=mysql-ca" # 生成服务端证书 openssl req -newkey rsa:2048 -nodes -days 3650 -keyout server-key.pem -out server-req.pem -subj "/CN=mysql-server" openssl x509 -req -in server-req.pem -days 3650 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem # 生成客户端证书 openssl req -newkey rsa:2048 -nodes -days 3650 -keyout client-key.pem -out client-req.pem -subj "/CN=mysql-client" openssl x509 -req -in client-req.pem -days 3650 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 02 -out client-cert.pem
生成完毕后，建议将ca-cert.pem、server-cert.pem、server-key.pem移动到MySQL数据目录或专用证书目录，例如/etc/mysql/ssl/，并将文件属主改为mysql用户，权限设置为600，避免其他系统用户读取私钥。
如果私钥文件权限过宽，MySQL启动时会拒绝加载并报错，因此务必执行chown mysql:mysql以及chmod 600操作。这一步虽小，却是最常见的配置失败原因。
二、服务端配置SSL参数
证书就位后，需要修改MySQL服务端配置文件，通常位于/etc/my.cnf或/etc/mysql/mysql.conf.d/mysqld.cnf。在[mysqld]段落中添加ssl-ca、ssl-cert、ssl-key三个参数，分别指向CA证书、服务端证书和服务端私钥。
配置示例如下，路径需根据实际存放位置调整。若系统开启了require_secure_transport，则所有连接都必须走SSL或本地socket，否则会被拒绝。
[mysqld] ssl-ca = /etc/mysql/ssl/ca-cert.pem ssl-cert = /etc/mysql/ssl/server-cert.pem ssl-key = /etc/mysql/ssl/server-key.pem # 可选：强制所有远程连接使用SSL # require_secure_transport = ON
修改完成后重启MySQL服务，例如执行systemctl restart mysqld。启动后进入MySQL命令行，执行show variables like 'have_ssl';，若值为YES，说明SSL模块已正常加载。若显示DISABLED，一般是证书路径错误或权限不足。
此时服务端已经具备提供SSL连接的能力，但并不会强制客户端使用。如果希望特定账号必须走加密通道，需要在授权时加上require ssl子句，这比全局强制更灵活，也便于内部运维账号走本地socket免密。
三、创建强制SSL的账号
在MySQL中，账号与SSL策略是绑定在一起的。我们可以通过create user或alter user语句指定某账号必须使用SSL。这样即使客户端未配置证书，只要服务端证书可信且连接启用了SSL，也能完成握手。
下面语句创建了一个只能通过SSL访问的账号，并限制了来源网段。注意这里的require ssl只要求加密，不校验客户端证书；若写require x509则客户端必须提供由同一CA签发的证书。
CREATE USER 'ssluser'@'192.168.0.%' IDENTIFIED BY 'StrongPass123!' REQUIRE SSL; GRANT SELECT, INSERT ON app_db.* TO 'ssluser'@'192.168.0.%'; FLUSH PRIVILEGES;
如果业务需要双向认证，即服务端也要确认客户端身份，可将语句改为REQUIRE X509，此时客户端连接时必须携带client-cert.pem与client-key.pem，否则服务端会中断握手。
双向认证适合跨机构数据同步等高危场景，但运维复杂度更高，普通应用启用单向SSL即可阻断链路嗅探，已经是性价比很高的安全加固手段。
四、客户端启用SSL连接
命令行客户端连接时，可通过参数显式开启SSL。若服务端是自签CA，客户端需要指定--ssl-ca指向ca-cert.pem，否则会报证书链不可信的错误。
mysql -h 192.168.0.10 -u ssluser -p --ssl-ca=/etc/mysql/ssl/ca-cert.pem --ssl-mode=VERIFY_CA
连接成功后，在MySQL提示符下执行status命令，输出中会出现SSL字段，例如SSL: Cipher in use is TLS_AES_256_GCM_SHA384，这就证明当前会话已经加密。如果显示Not in use，说明退回了明文，需要检查客户端参数和服务端配置。
在应用程序中，如JDBC连接串可添加useSSL=true与trustCertificateKeyStoreUrl等属性；PHP的PDO则可在dsn中写ssl_ca。无论哪种语言，核心都是把CA证书交给客户端校验，并开启SSL开关。
五、常见问题与排查
实际配置时，最容易遇到的是证书权限问题。MySQL进程以mysql用户运行，若密钥文件对其他用户可读，出于安全考虑会拒绝加载，错误日志中通常出现SSL error: Unable to get private key。
另一个常见误区是混淆了<input>这类HTML标签与配置项，在文档中写错参数名。MySQL配置项是ssl-key而不是ssl_key，下划线写法在my.cnf中无效。此外，如果客户端和服务端OpenSSL版本差异过大，可能协商不出共同密码套件，此时可显式指定tls_version，如tls_version=TLSv1.2。
| 现象 | 可能原因 | 解决办法 |
|---|---|---|
| have_ssl为DISABLED | 证书路径错误或权限过宽 | 检查my.cnf路径，chmod 600私钥 |
| 客户端报证书未知 | 未指定ssl-ca或CA不匹配 | 传递正确ca-cert.pem并设置VERIFY_CA |
| 账号无法登录提示require ssl | 客户端未启用SSL | 连接串增加useSSL或命令行加--ssl-mode |
通过上面几个步骤，我们完成了从证书生成、服务端配置、账号策略到客户端验证的完整闭环。对于暴露在公网或跨机房访问的MySQL实例，启用SSL应作为基础安全项纳入部署规范，而不是等到发生泄露才补救。
MySQLSSL_connectionSSL_config修改时间：2026-08-07 22:27:39