针对 php 连接 mysql 数据库时遇到的 ssl 错误，特别是 `tlsv1 alert unknown ca` 等问题，本文提供了一种简洁有效的解决方案。通过优化 `mysqli::real_connect` 方法的参数配置，移除不必要的 `ssl_set` 调用并正确使用 `mysqli_client_ssl` 标志，可以有效解决因证书配置复杂或不当导致的连接失败，实现安全的数据库连接。
引言：PHP 与 MySQL 的 SSL 安全连接
在现代 Web 应用开发中，确保数据库通信的安全性至关重要。使用 SSL/TLS 加密 PHP 与 MySQL 之间的连接可以有效防止数据在传输过程中被窃听或篡改。然而，配置 SSL 连接有时会遇到各种挑战，其中一个常见的错误是 PHP Warning: mysqli::real_connect(): SSL operation failed with code 1. OpenSSL Error messages: error:14094418:SSL routines:ssl3_read_bytes:tlsv1 alert unknown ca。这个错误通常表明客户端在尝试验证 MySQL 服务器的 SSL 证书时遇到了问题。
问题分析：复杂的 SSL 配置陷阱
当遇到 tlsv1 alert unknown ca 错误时，开发人员往往会怀疑自己的 SSL 证书无效，并尝试通过 mysqli::ssl_set() 方法手动指定客户端证书、密钥，甚至使用 MYSQLI_CLIENT_SSL_DONT_VERIFY_SERVER_CERT 标志来跳过服务器证书验证。
原始的连接尝试可能如下所示：
// 初始化连接对象
$new_connection = mysqli_init();
// 尝试设置客户端 SSL 证书和密钥
$new_connection->ssl_set('/etc/my.cnf.d/certs/client-key.pem','/etc/my.cnf.d/certs/client-cert.pem', NULL, NULL, NULL);
// 连接数据库，并选择不验证服务器证书
$new_connection->real_connect('host', 'user', 'password', 'dbname', port, NULL, MYSQLI_CLIENT_SSL_DONT_VERIFY_SERVER_CERT);这种方法存在几个潜在问题：
Word报告自动生成神器。自动生成专业Word文档报告，支持模板填充、目录生成、表格/图表插入、页眉页脚、多级标题、样式主题、批量邮件合并。当用户需要生成Word报告、创建合同文档、批量生成通知/证书、填充Word模板、制作商业计划书时触发。
立即学习“PHP免费学习笔记（深入）”；
- ssl_set() 的误用： ssl_set() 主要用于客户端向服务器提供证书进行相互认证（Mutual TLS）。如果 MySQL 服务器并未要求客户端提供证书，或者提供的客户端证书路径不正确/无效，这个调用反而可能导致连接失败。
- MYSQLI_CLIENT_SSL_DONT_VERIFY_SERVER_CERT 的风险： 这个标志明确指示客户端不验证服务器的 SSL 证书。虽然它可以绕过 unknown ca 错误，但却引入了严重的安全风险，使得连接容易受到中间人攻击，因为客户端无法确认它连接的是否是真正的 MySQL 服务器。
- tlsv1 alert unknown ca 的真正含义： 这个错误通常意味着客户端的 OpenSSL 库无法在其信任的根证书存储中找到签发 MySQL 服务器证书的 CA（证书颁发机构），或者服务器证书链不完整。
简化解决方案：高效建立 SSL 连接
针对上述问题，一个更简洁且安全的解决方案是：移除不必要的 mysqli::ssl_set() 调用，并在 mysqli::real_connect() 方法中直接使用 MYSQLI_CLIENT_SSL 标志。这个标志会启用 SSL 加密，并指示客户端尝试验证服务器证书，通常会利用操作系统或 OpenSSL 默认信任的 CA 存储。
以下是修正后的 PHP 连接代码示例：
<?php
// 数据库连接参数
$host = 'your_mysql_host'; // MySQL 服务器地址
$user = 'your_username'; // MySQL 用户名
$password = 'your_password'; // MySQL 密码
$database = 'your_database'; // 数据库名
$port = 3306; // MySQL 端口，默认为 3306
// 初始化 MySQLi 连接对象
$new_connection = mysqli_init();
// 检查初始化是否成功
if (!$new_connection) {
die("mysqli_init failed");
}
// 通过 real_connect 直接建立 SSL 连接
// MYSQLI_CLIENT_SSL 标志指示使用 SSL/TLS 加密，并通常会进行服务器证书验证
// 在大多数情况下，如果服务器证书由受信任的CA签发，且客户端系统信任该CA，
// 就不需要显式指定客户端证书。
$connect_result = $new_connection->real_connect(
$host,
$user,
$password,
$database,
$port,
NULL,
MYSQLI_CLIENT_SSL
);
// 检查连接是否成功
if (!$connect_result) {
die('连接失败: (' . $new_connection->connect_errno . ') ' . $new_connection->connect_error);
}
echo "成功通过 SSL 连接到 MySQL 数据库！\n";
// 示例：执行一个查询
$query_result = $new_connection->query("SELECT VERSION() as mysql_version");
if ($query_result) {
$row = $query_result->fetch_assoc();
echo "MySQL 版本: " . $row['mysql_version'] . "\n";
$query_result->free();
} else {
echo "查询失败: " . $new_connection->error . "\n";
}
// 关闭连接
$new_connection->close();
?>原理阐述：为什么这样有效？
- MYSQLI_CLIENT_SSL 的作用： 当您在 real_connect 中使用 MYSQLI_CLIENT_SSL 标志时，mysqli 扩展会指示底层 OpenSSL 库尝试建立一个 SSL/TLS 连接。在此过程中，客户端会接收服务器的 SSL 证书，并尝试根据其系统或 OpenSSL 配置中预设的信任根证书列表来验证该证书的合法性。如果服务器证书是由一个被广泛信任的 CA 签发的（例如 Let's Encrypt, DigiCert 等），并且客户端系统信任该 CA，那么验证就会成功，连接也能顺利建立。
- 移除 ssl_set() 的必要性： ssl_set() 函数主要用于配置客户端证书和密钥，以支持相互认证（Mutual TLS），即客户端也需要向服务器证明自己的身份。在许多常见的应用场景中，MySQL 服务器只需要客户端提供密码进行认证，而不需要客户端证书。在这种情况下，ssl_set() 的调用是不必要的，如果参数配置不当，反而可能干扰正常的 SSL 握手过程。
- 安全性提升： 通过使用 MYSQLI_CLIENT_SSL 而非 MYSQLI_CLIENT_SSL_DONT_VERIFY_SERVER_CERT，我们确保了客户端会验证服务器的身份。这大大降低了中间人攻击的风险，保证了连接的安全性。
注意事项与最佳实践
- MySQL 服务器 SSL 配置： 确保您的 MySQL 服务器已正确配置 SSL，并且服务器端证书是有效的。最好使用由受信任的第三方 CA 签发的证书。您可以在 my.cnf 文件中检查或配置 MySQL 的 SSL 设置。
- 客户端系统信任链： 确保 PHP 运行的服务器（客户端）信任签发 MySQL 服务器证书的 CA。这意味着 CA 的根证书或中间证书应该存在于客户端系统的信任证书存储中（例如 /etc/ssl/certs）。如果服务器证书是自签名的，您需要将服务器的 CA 证书添加到客户端的信任列表中，或者在 real_connect 中通过 MYSQLI_CLIENT_SSL_DONT_VERIFY_SERVER_CERT 绕过验证（不推荐）。
- 错误处理： 始终在代码中包含健壮的错误处理机制，以便在连接失败时能够捕获并记录错误信息，这对于调试至关重要。
- 相互认证（Mutual TLS）： 如果您的安全策略确实要求 MySQL 服务器验证客户端的身份（即需要客户端证书），那么 mysqli::ssl_set() 仍然是必需的。在这种情况下，您需要确保客户端证书、密钥以及 CA 证书的路径都是正确的，并且服务器也配置为要求客户端证书。
- 最低特权原则： 为数据库连接使用具有最低必要权限的用户账户，以限制潜在的安全风险。
总结
解决 PHP 连接 MySQL SSL 时常见的 tlsv1 alert unknown ca 错误，通常不需要复杂地配置客户端证书。在大多数情况下，通过移除不必要的 mysqli::ssl_set() 调用，并在 mysqli::real_connect() 中使用 MYSQLI_CLIENT_SSL 标志，即可实现安全且可靠的 SSL 连接。这种方法简化了配置，同时确保了服务器证书的验证，从而提供了更强的安全性。关键在于确保 MySQL 服务器端 SSL 配置正确，并且其证书由客户端系统信任的 CA 签发。
