MySQL报“SSL connection error”通常因客户端与服务端SSL配置不匹配：服务端未启用SSL（have_ssl=NO或证书路径错误）或客户端未正确配置证书。需检查SHOW VARIABLES LIKE '%ssl%'、证书绝对路径及权限、my.cnf中ssl_ca/ssl_cert/ssl_key三者齐全，Java需用sslMode=REQUIRED等JDBC参数并指定信任库。
MySQL客户端连接报错“SSL connection error”怎么快速定位
不是所有客户端默认启用SSL，也不是所有服务端默认强制SSL——报这个错，大概率是客户端想用SSL但服务端没配好，或者服务端要求SSL但客户端没传证书。
-
mysql --ssl-mode=REQUIRED -u user -p这种显式开启方式，如果服务端没启用SSL，会直接报错SSL connection error: SSL is required but the server doesn't support it - 检查服务端是否真加载了证书：连上MySQL后执行
SHOW VARIABLES LIKE '%ssl%';，关键看have_ssl值是否为YES，且ssl_ca、ssl_cert、ssl_key都非空 - 常见坑：证书路径写相对路径（如
./server-cert.pem），但MySQL服务是以mysqld用户运行的，工作目录不一定是你启动命令的目录；必须用绝对路径，且确保mysqld用户有读权限
my.cnf里ssl配置项哪些必须填，哪些可以省略
MySQL 5.7+ 要启用SSL，ssl_ca、ssl_cert、ssl_key 三者缺一不可；只配其中一两个，服务能启动，但 have_ssl 仍显示 DISABLED。
-
ssl_ca：CA证书路径，用于验证客户端或服务端证书签名，即使只做服务端加密（不验客户端），也必须提供 -
ssl_cert和ssl_key：必须配对，且私钥不能带密码（MySQL不支持加载带密码的PEM私钥） -
require_secure_transport=ON是可选但强推的配置——它让所有连接（包括本地socket）都必须走SSL或本地socket（取决于版本），避免有人绕过TCP连接来跳过加密
Java应用用JDBC连MySQL启SSL，url参数怎么写才生效
JDBC URL里光写 useSSL=true 不够，MySQL Connector/J 8.0+ 默认已弃用该参数，且强制校验证书——不配信任库或关校验，连接直接失败。
- 正确写法：
jdbc:mysql://host:3306/db?sslMode=REQUIRED&trustCertificateKeyStoreUrl=file:/path/to/client-truststore.jks&trustCertificateKeyStorePassword=changeit - 更轻量方案（开发/测试环境）：
sslMode=VERIFY_IDENTITY改成sslMode=REQUIRED，并加&allowPublicKeyRetrieval=true（仅限MySQL 8.0.13+，且仅当服务端没开RSA密钥交换时需要） - 容易踩的坑：JDK默认信任库（
$JAVA_HOME/jre/lib/security/cacerts）里没有你的CA证书，又没指定trustCertificateKeyStoreUrl，就会报PKIX path building failed
为什么开了SSL连接变慢，还能不能只对特定用户强制SSL
SSL握手本身有开销，但实际影响远小于网络延迟；真正拖慢的往往是客户端反复尝试非SSL连接再降级，或者服务端证书链太长、OCSP响应慢。
- 性能优化点：在服务端关闭
ssl_crl（除非真需要吊销检查），避免每次连接都查CRL列表；用ssl_cipher=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256这类现代套件，避免老旧算法 - 可以按用户强制SSL：
CREATE USER 'appuser'@'%' REQUIRE SSL;，之后该用户任何连接都必须满足SSL条件，其他用户不受影响 - 注意：REQUIRE SSL 只校验连接是否用了SSL，不校验证书内容；若要绑定具体证书，得用
REQUIRE SUBJECT '/CN=appclient'或REQUIRE ISSUER，但运维成本陡增，一般没必要
证书有效期、私钥权限、客户端信任链这三处最容易被漏掉——改完配置别忘了重启 mysqld，并且用 openssl s_client -connect host:3306 -servername host 手动测通SSL握手，比等应用报错快得多。
