SSL_connect_error的直接原因是客户端TLS握手失败，本质是客户端不支持服务端要求的TLS版本或加密套件，常见于旧版mysql命令行连MySQL 8.0+、pymysql 0.9.x或mysql-connector-python连接云数据库等场景。
MySQL连接报SSL_connect_error的直接原因 这个错误不是MySQL服务端拒绝连接，而是客户端在TLS握手阶段失败。常见于升级MySQL 8.0+、使用云数据库（如阿里云RDS、腾讯云CDB）或本地MySQL客户端驱动版本过旧时。本质是客户端不支持服务端要求的TLS协议版本或加密套件。
最常触发的场景有三个：
- 用mysql命令行工具（5.7或更早）连MySQL 8.0+默认启用TLS的实例
- Python用pymysql 0.9.x或mysql-connector-python require_secure_transport=ON的服务端
- Java应用用mysql-connector-java 5.1.x连强制TLS的RDS实例
怎么快速验证是不是驱动/客户端版本问题 先绕过SSL确认是否真是驱动问题，而不是网络或账号权限问题：
用mysql命令加--ssl-mode=DISABLED测试连通性：mysql -h xxx.rds.aliyuncs.com -P 3306 -u user -p --ssl-mode=DISABLED
如果能连上，说明服务端配置了强制SSL（require_secure_transport=ON），但你的客户端没提供兼容的TLS能力。这时别急着关服务端SSL——云厂商通常不允许关。
验证驱动版本的常用方式：
- Python：pip show pymysql 或 pip show mysql-connector-python
- Java：mvn dependency:tree | grep mysql 看实际加载的mysql-connector-java版本
- Node.js：npm ls mysql2（注意：原生mysql包已不维护，务必用mysql2）
对应语言的驱动升级实操要点 不同语言生态对TLS 1.2+和现代加密套件的支持节奏不同，升级不是“装最新版”就完事：
Python + PyMySQL：
- PyMySQL 1.0.2+ 才完整支持TLS 1.2+ handshake，低于此版本即使连得上也可能在特定证书链下失败
- 如果用mysql-connector-python，必须≥8.0.23；8.0.33前存在SNI缺失导致某些云厂商证书校验失败的问题
- 不要混用：PyMySQL 和 mysqlclient 底层依赖不同，后者依赖系统OpenSSL，容易受Linux发行版OpenSSL版本拖累
Java：
- mysql-connector-java 5.1.x 系列完全不支持TLS 1.2作为默认协议，必须升到8.0.x
- 8.0.28+ 开始默认启用SNI，解决部分云厂商证书路由问题
- 连接URL里显式加上?enabledTLSProtocols=TLSv1.2比依赖自动协商更稳
Node.js：
- 必须用mysql2（非mysql），且版本≥2.3.3
- 启动时加ssl: { rejectUnauthorized: false }只是临时调试手段，生产必须配真实CA证书路径：ssl: { ca: fs.readFileSync('/path/to/rds-combined-ca-bundle.pem') }
容易被忽略的证书与系统级坑 很多团队卡在“驱动明明升级了，还是SSL_connect_error”，其实是被这些点绊住：
- 云数据库（如阿里云RDS）提供的根证书是rds-combined-ca-bundle.pem，不是单个ca.pem；少一个中间证书，TLS握手就会断在CertificateVerify环节
- Linux系统OpenSSL版本太老（比如CentOS 7默认OpenSSL 1.0.2k），哪怕应用层驱动支持TLS 1.2，底层也会fallback失败；openssl version得≥1.1.1
- Docker镜像用python:3.9-slim这类基础镜像时，自带OpenSSL可能不带SNI支持，得换python:3.9或手动升级libssl1.1
- MySQL服务端若启用了tls_version = TLSv1.3,TLSv1.2，而客户端驱动编译时没开TLS 1.3支持（如旧版mysql-connector-java），会静默降级失败，日志里只显示“SSL connection error”
连不上时先看服务端SHOW VARIABLES LIKE 'require_secure_transport';和SHOW STATUS LIKE 'Ssl%';，再比对客户端驱动文档里写的TLS支持矩阵——不是所有“支持SSL”的驱动，都真能跟你的MySQL实例完成一次完整的TLS 1.2握手。
