Flask连接MySQL/PostgreSQL需通过SQLAlchemy透传SSL参数：MySQL在URI中加ssl_ca等查询参数；PostgreSQL须用connect_args传verify-full及证书路径，且域名需匹配证书SAN，否则报TLS_ALERT_UNKNOWN_CA。
Flask 连接 MySQL/PostgreSQL 时怎么传 SSL 参数
Flask 本身不处理数据库连接加密，实际是 SQLAlchemy 或底层驱动（如 pymysql、psycopg2）在起作用。关键在于把 SSL 配置透传到底层连接。
常见错误是只在 Flask 配置里写 SQLALCHEMY_DATABASE_URI，却没带 SSL 参数，结果连接走明文——哪怕数据库开了强制 SSL，应用端没声明，照样被拒绝或降级。
- MySQL：URI 中必须包含
ssl_ca、ssl_cert、ssl_key（至少ssl_ca），格式为mysql+pymysql://user:pass@host/db?ssl_ca=/path/to/ca.pem&ssl_cert=/path/to/client-cert.pem&ssl_key=/path/to/client-key.pem - PostgreSQL：用
postgresql+psycopg2时，SSL 参数得通过connect_args传，URI 里加sslmode=require不够，还得额外指定证书路径，例如：app.config['SQLALCHEMY_ENGINE_OPTIONS'] = {'connect_args': {'sslmode': 'verify-full', 'sslrootcert': '/path/to/root.crt', 'sslcert': '/path/to/client.crt', 'sslkey': '/path/to/client.key'}} - SQLite 或本地开发环境别硬塞 SSL 参数，会直接报
SSL error或连接失败——它不支持 SSL
为什么 sslmode=require 在 PostgreSQL 里不够安全
PostgreSQL 的 sslmode=require 只保证加密，不校验证书，中间人攻击仍可能成功。生产环境必须用 verify-full，否则等于没开 SSL。
容易踩的坑是：配置了 verify-full 却没提供 sslrootcert，导致连接报错 server certificate verification failed；或者证书路径写相对路径（如 ./certs/ca.crt），Flask 启动时工作目录不确定，路径失效。
立即学习“Python免费学习笔记（深入）”；
安全 Python 代码沙箱：在隔离的沙箱中执行任意 Python 代码，预装 requests、NumPy、pandas 库。返回 stdout、stderr。
-
sslmode=verify-full要求服务端域名和证书subjectAltName匹配，数据库地址不能用 IP，得用 DNS 名（如db.example.com） - 证书文件必须由 Flask 进程可读，Docker 容器里注意挂载权限和 SELinux 上下文
- 如果用自签名 CA，
sslrootcert必须是 PEM 格式且只含根证书，不能混入中间证书或私钥
Flask 应用启动时报 SSL error: [SSL: TLSV1_ALERT_UNKNOWN_CA]
这是客户端（你的 Flask 应用）不信任服务端证书颁发机构，典型于用了自签名证书但没把 CA 塞进 ssl_ca 或 sslrootcert。
不是数据库没开 SSL，而是你没告诉 Python 信谁。调试时可用 openssl s_client -connect db-host:5432（PostgreSQL）或 mysql --ssl-mode=REQUIRED --ssl-ca=ca.pem -h db-host -u user（MySQL）先确认证书链是否正常。
- 检查证书是否过期：
openssl x509 -in ca.pem -text -noout | grep "Not After" - MySQL 驱动（
pymysql）对证书路径敏感，路径中不能有空格或中文，否则静默失败 - 某些旧版
psycopg2（sslrootcert 直接传路径，得用sslrootcert+sslcert+sslkey全配齐，缺一不可
要不要在 Flask 配置里写 SQLALCHEMY_TRACK_MODIFICATIONS=False
这和 SSL 加密完全无关，但它常和数据库配置一起出现，顺手关掉能省点内存和 CPU。不关也不会影响 SSL，但线上部署时建议明确设为 False，避免 SQLAlchemy 启动时多开一个变更监听线程。
真正影响 SSL 的只有连接参数本身，其他配置项比如 SQLALCHEMY_POOL_RECYCLE 或 engine_options，只要没动到 SSL 相关字段，就只是连接池行为，和加密无关。
证书路径、SSL 模式、CA 信任链——这三个点漏掉任何一个，加密连接就建立不起来。其他都是锦上添花，或者干脆是干扰项。
