证书路径必须填客户端可读的绝对路径，如/home/user/certs/ca.pem；生产环境应使用VERIFY_IDENTITY模式并用域名连接，Java需显式配置sslMode=VERIFY_IDENTITY及CA路径，Python须传字符串路径且注意参数名差异。
MySQL客户端连接SSL实例时证书路径怎么填
证书路径必须是客户端能读取的绝对路径，相对路径在大多数场景下会静默失败。比如用 mysql 命令行工具时，--ssl-ca、--ssl-cert、--ssl-key 后面跟的路径不能是 ./ca.pem 或 ~/certs/ca.pem（tilde 展开不生效），得写成 /home/user/certs/ca.pem。
常见错误现象：SSL connection error: SSL certificate validation failure 或直接报 Can't connect to MySQL server 但没提SSL，其实是证书加载失败后退化为非SSL连接，而服务端强制SSL就会拒连。
- Linux/macOS 下确认路径权限：客户端进程用户必须有读权限，
cat /path/to/ca.pem能成功才靠谱 - Windows 上注意反斜杠转义问题，推荐统一用正斜杠，如
C:/certs/ca.pem - Docker 容器内连接宿主或远程MySQL时，证书得挂载进容器，路径以容器内视角为准
要不要验证服务器证书（verify-ca vs verify-identity）
这是最容易被忽略的安全水位线。MySQL 支持两种 SSL 模式：VERIFY_CA 只校验证书是否由指定 CA 签发；VERIFY_IDENTITY 还额外检查证书 Subject CN 或 SAN 是否匹配目标主机名。
生产环境强烈建议用 VERIFY_IDENTITY，否则中间人只要搞到同CA签发的任意有效证书就能冒充你的数据库。
- 命令行加
--ssl-mode=VERIFY_IDENTITY，对应 JDBC 是&sslMode=VERIFY_IDENTITY - 如果服务端证书 CN 是
mysql-prod.example.com，但你用 IP 连接（如10.0.1.5），VERIFY_IDENTITY会失败——必须用域名连，且 DNS 解析结果要一致 - 某些云厂商（如 AWS RDS）的证书 SAN 包含通配符（如
*.region.rds.amazonaws.com），这时用VERIFY_IDENTITY连mydb.region.rds.amazonaws.com是 OK 的
Java JDBC 连接启用了SSL的MySQL要注意哪些参数
JDBC URL 里光写 useSSL=true 不够，它默认只做加密不校验证书，等价于 sslMode=REQUIRED，完全不防中间人。
正确做法是显式指定 sslMode 并配齐证书路径：
jdbc:mysql://db.example.com:3306/mydb?sslMode=VERIFY_IDENTITY&serverSslCert=/path/to/ca.pem&clientCertificateKeyStoreUrl=file:///path/to/keystore.jks&clientCertificateKeyStorePassword=changeit
-
serverSslCert是 CA 证书路径（不是服务端证书），用于验证服务端身份 - 如果服务端要求双向认证（mTLS），才需要
clientCertificateKeyStore*参数；一般只需单向验证 - 旧版驱动（
mysql-connector-java < 8.0.23）用的是useSSL=true&requireSSL=true&verifyServerCertificate=true，语义混乱且已被弃用 - Spring Boot 2.4+ 的
spring.datasource.url必须把所有 SSL 参数拼进 URL，配置项spring.datasource.hikari.data-source-properties.*对 SSL 无效
Python mysql-connector-python 怎么安全加载证书
用 mysql.connector.connect() 时，证书路径传给 ssl_ca、ssl_cert、ssl_key 参数，但注意：这些值必须是字符串路径，不能是文件对象或 bytes。
容易踩的坑是误以为传入 open('ca.pem').read() 就行——它会抛 ValueError: ssl_ca must be a valid filesystem path。
- 正确写法：
ssl_ca='/etc/mysql/ca.pem', ssl_cert='/etc/mysql/client-cert.pem', ssl_key='/etc/mysql/client-key.pem' - 如果只验证 CA 不验证域名，设
ssl_disabled=False+ssl_verify_cert=True即可（对应sslMode=VERIFY_CA） - 想等效
VERIFY_IDENTITY，得额外传ssl_disabled=False, ssl_verify_cert=True，并确保连接时用的是证书里 SAN 包含的域名 - 使用
pymysql时参数名不同：ssl={'ca': '/path/ca.pem'}，且不支持自动 hostname 验证，得自己调ssl.match_hostname()
证书路径错一个字符、权限少一个读位、模式选成 REQUIRED 而不是 VERIFY_IDENTITY——这些地方一出问题，连接看起来“通”，实则裸奔。安全不是开关，是每个参数的组合效果。
