ThinkPHP 6.x 启用 MySQL SSL 需在 config/database.php 的 mysql 配置中通过 params 数组显式设置 PDO::MYSQL_ATTR_SSL_CA、CERT、KEY 等常量及绝对路径证书文件，URL 参数无效，漏配 CA 将导致连接失败，且需注意文件权限、SELinux 及禁用 pconnect。
ThinkPHP 6.x 中修改 database.php 配置启用 MySQL SSL 连接
ThinkPHP 默认不开启 MySQL SSL，要让 pdo_mysql 驱动走加密通道，必须显式传入 SSL 相关 PDO 选项，仅靠数据库 URL 或 host 参数无效。
实操上，直接改 config/database.php 的 mysql 连接配置，在 params 数组里加 PDO 层参数：
'mysql' => [
// ... 其他配置
'params' => [
\PDO::MYSQL_ATTR_SSL_CA => '/etc/mysql/certs/ca.pem',
\PDO::MYSQL_ATTR_SSL_CERT => '/etc/mysql/certs/client-cert.pem',
\PDO::MYSQL_ATTR_SSL_KEY => '/etc/mysql/certs/client-key.pem',
],
],
注意：\PDO::MYSQL_ATTR_SSL_* 是常量名，不是字符串；路径必须是绝对路径且 Web 进程有读取权限；证书文件需 PEM 格式，不能是 PFX 或 JKS。
为什么 host 加 ?ssl_mode=REQUIRED 不起作用
ThinkPHP 的 mysql 驱动（think\db\connector\Mysql）在构建 DSN 时会忽略 URL 查询参数里的 SSL 设置，它只解析 host、port、dbname 等基础字段，?ssl_mode=... 被直接丢弃。
立即学习“PHP免费学习笔记（深入）”；
常见错误现象：SQLSTATE[HY000] [2002] Connection refused 或连接成功但流量未加密（用 tcpdump 抓包可验证明文传输）。
根本原因：PDO 构建 DSN 时不处理这些参数，SSL 控制权完全在 params 数组和底层 MySQL 客户端库行为。
所以必须走 params 注入，别试图“拼 URL”绕过。
params 里漏掉 PDO::MYSQL_ATTR_SSL_CA 就会失败
MySQL 启用 SSL 时，默认要求服务端证书由可信 CA 签发。如果只配了 CERT 和 KEY，没配 CA，PDO 会拒绝连接并报错：SQLSTATE[HY000] [2002] SSL connection error: SSL is required but the server doesn't support it（即使服务器实际支持）。
正确做法（按需选择）：
- 用自签名证书时，必须提供
CA文件（哪怕就是自签的 root CA） - 信任系统 CA（如 Ubuntu 的
/etc/ssl/certs/ca-certificates.crt），可填该路径 - 若确定只要加密不要验签（不推荐），可加
\PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT => false，但此选项在较新 MySQL 客户端中可能被忽略或报错
连接池、长连接与 SSL 的兼容性风险
ThinkPHP 默认启用连接池（deploy 配置为 0 或 1），但 SSL 握手状态无法跨连接复用。若应用启用了 pconnect（持久连接），在高并发下容易出现 SSL handshake failed 或连接卡死。
建议：
- 生产环境关闭
pconnect（设'pconnect' => false） - 确认 MySQL 服务端
require_secure_transport = ON时，所有非 SSL 连接会被拒，此时务必确保所有 ThinkPHP 实例都配对了 SSL 参数 - 测试阶段用
SHOW STATUS LIKE 'Ssl%';查看当前连接是否真正启用了 SSL
最易被忽略的是证书文件权限和 SELinux 上下文——尤其在 CentOS/RHEL 上，Apache 或 PHP-FPM 进程可能因策略限制读不到证书文件，报错却只显示“connection refused”，得查 audit.log 才能定位。
