PHP数据库连接加密需服务端启用TLS/SSL并配置有效证书，客户端通过PDO设置SSL选项（如PDO::MYSQL_ATTR_SSL_CA等）强制加密，且须验证证书权限、驱动支持及网络层加密效果。
PHP 连接数据库时默认使用明文传输，密码、SQL 查询、结果集等均可能被网络嗅探截获。要实现加密传输，核心是启用数据库服务端支持的 TLS/SSL 加密连接，并在 PHP 客户端正确配置。这并非 PHP 自身加密，而是依赖底层数据库驱动（如 MySQLi 或 PDO）与数据库服务器之间建立的加密通道。
确认数据库服务器已启用 TLS/SSL
加密传输的前提是数据库服务端已配置并启用了有效 TLS 证书。以 MySQL 为例：
- 检查 MySQL 配置文件（my.cnf 或 mysqld.cnf）中是否包含类似以下配置：
[mysqld]
ssl-ca = /etc/mysql/ssl/ca.pem
ssl-cert = /etc/mysql/ssl/server-cert.pem
ssl-key = /etc/mysql/ssl/server-key.pem
- 登录 MySQL 执行 SHOW VARIABLES LIKE '%ssl%';，确认 have_ssl 为 YES，且 ssl_cipher 非空；
- 确保用户账户允许 SSL 连接：执行 ALTER USER 'user'@'host' REQUIRE SSL; 并刷新权限。
PHP 中使用 PDO 启用强制 SSL 连接
PDO 支持通过 DSN 参数和选项控制 SSL 行为。推荐显式要求加密连接：
立即学习“PHP免费学习笔记（深入）”；
- DSN 中添加 sslmode=require（PostgreSQL）或使用 MySQL 特定参数；
- 对于 MySQLi/PDO MySQL，更可靠的方式是通过 PDO::MYSQL_ATTR_SSL_* 选项指定证书路径（即使服务端已配好，客户端仍需验证）：
$options = [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::MYSQL_ATTR_SSL_CA => '/path/to/ca.pem',
PDO::MYSQL_ATTR_SSL_CERT => '/path/to/client-cert.pem',
PDO::MYSQL_ATTR_SSL_KEY => '/path/to/client-key.pem'
];
$pdo = new PDO('mysql:host=192.168.1.100;dbname=test', $user, $pass, $options);
- 若仅需加密不校验证书（测试环境），可设 PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT => false，但生产环境务必保持为 true；
- 连接成功后，可通过 $pdo->getAttribute(PDO::ATTR_CLIENT_VERSION) 辅助判断驱动版本兼容性，再查 SHOW STATUS LIKE 'Ssl_cipher'; 确认会话已加密。
验证连接是否真正加密
不能仅凭代码配置就认为已加密。需从服务端和网络层双重验证：
- 在 MySQL 中执行 STATUS; 或 SELECT * FROM performance_schema.status_by_thread WHERE VARIABLE_NAME = 'Ssl_cipher';，确认当前连接的 Ssl_cipher 字段非空；
- 使用 tcpdump 或 Wireshark 抓包，过滤目标端口（如 3306），观察应用发送的认证包和查询内容是否为不可读乱码（TLS 握手后数据应无法直接识别明文 SQL 或密码）；
- 尝试关闭服务端 SSL 后重启 PHP 应用，若连接失败（报错含 “SSL required”、“Can't connect to MySQL server” 或 “SSL connection error”），说明客户端配置已生效并强制加密。
常见误区与注意事项
实践中容易忽略的关键点：
- PHP 扩展依赖：PDO MySQL 驱动必须编译时启用 OpenSSL 支持（检查 phpinfo() 中 pdo_mysql 模块是否显示 mysqlnd 及 SSL enabled）；
- 证书路径权限：PHP 进程（如 www-data、nginx 用户）需有读取证书文件的权限，否则静默降级为非加密连接；
- 云数据库差异：阿里云 RDS、AWS RDS 等通常提供根 CA 证书下载，但默认连接字符串不含 SSL 参数，需手动添加；部分托管平台（如 Heroku）要求使用 ?sslmode=require（PostgreSQL）或 &ssl=true（MySQL 兼容协议）；
- 不要混淆“密码加密存储”与“传输加密”：使用 password_hash() 保护数据库密码字段，解决的是存储安全，和连接过程加密无关。
