ThinkPHP 6 启用 MySQL SSL 的唯一合法配置位置是 database.php 中连接配置的 params 数组，需严格使用 PDO 常量键名（如 PDO::MYSQL_ATTR_SSL_CA）传入绝对路径证书及模式常量。
ThinkPHP 6 连接 MySQL 启用 SSL 的真实配置位置
SSL 不是在 ThinkPHP 框架层“开启加密开关”，而是通过 PDO 连接参数透传给底层 MySQL 驱动。框架本身不处理证书验证逻辑，只负责把 ssl_mode、ssl_ca、ssl_cert、ssl_key 这些原生 PDO 属性正确塞进数据库连接配置里。
关键点：ThinkPHP 的 database.php 配置文件中，params 数组才是 SSL 参数的唯一合法入口，不是 dsn 字符串里拼，也不是在模型或查询时动态加。
-
params必须是数组形式，且键名严格对应 PDO MySQL 的 SSL 选项（如PDO::MYSQL_ATTR_SSL_CA） - 证书路径必须是服务器本地绝对路径，不能是 URL 或相对路径（
./cert/ca.pem会失败） - 若使用自签名证书，
PDO::MYSQL_ATTR_SSL_MODE应设为PDO::MYSQL_ATTR_SSL_MODE_REQUIRED，而非VERIFY_IDENTITY（后者会校验域名，多数内网环境不满足）
常见报错 SQLSTATE[HY000] [2002] SSL connection error 怎么定位
这个错误表面是 SSL 失败，但实际原因往往和 ThinkPHP 无关，而是 MySQL 服务端未启用 SSL 或客户端参数不匹配。先确认服务端状态：
- 登录 MySQL 执行
SHOW VARIABLES LIKE '%ssl%';，确保have_ssl为YES，且ssl_ca、ssl_cert、ssl_key均非空 - 检查 MySQL 用户是否被强制要求 SSL：
SELECT user, host, ssl_type FROM mysql.user WHERE user = 'your_user';，若ssl_type是ANY或X509，则客户端必须提供有效证书 - ThinkPHP 日志里如果出现
PDO::__construct(): SSL operation failed，大概率是证书路径错、权限不足（PHP 进程读不到 .pem 文件），或证书格式损坏（比如 Windows 下用记事本另存过）
params 中 SSL 参数的写法和取值对照表
ThinkPHP 6.1+ 使用 PDO 连接，SSL 相关参数必须用 PDO 常量作键名，值按类型填字符串或整数。不能写成小写字符串或自定义键名，否则被忽略。
立即学习“PHP免费学习笔记（深入）”；
-
PDO::MYSQL_ATTR_SSL_CA→ 值为 CA 证书绝对路径字符串，例如/etc/mysql/ssl/ca.pem -
PDO::MYSQL_ATTR_SSL_CERT→ 客户端证书路径，仅当服务端要求双向认证时需要 -
PDO::MYSQL_ATTR_SSL_KEY→ 客户端私钥路径，必须与CERT配对，且私钥不能有密码（ThinkPHP 不支持传密码） -
PDO::MYSQL_ATTR_SSL_MODE→ 值为整数：PDO::MYSQL_ATTR_SSL_MODE_REQUIRED（最常用）、PDO::MYSQL_ATTR_SSL_MODE_VERIFY_CA、PDO::MYSQL_ATTR_SSL_MODE_VERIFY_IDENTITY
示例配置片段（config/database.php 中的 mysql 连接）：
'params' => [
\PDO::MYSQL_ATTR_SSL_CA => '/data/certs/ca.pem',
\PDO::MYSQL_ATTR_SSL_CERT => '/data/certs/client-cert.pem',
\PDO::MYSQL_ATTR_SSL_KEY => '/data/certs/client-key.pem',
\PDO::MYSQL_ATTR_SSL_MODE => \PDO::MYSQL_ATTR_SSL_MODE_REQUIRED,
],
为什么用了 SSL 还被中间人抓包？
根本原因：SSL 加密的是传输层，不是应用层。只要 PHP 进程能读到明文数据，就说明解密已完成——这和数据库连接是否加密无关。真正影响安全边界的，是证书验证强度和网络链路控制。
- 如果只配了
SSL_MODE_REQUIRED而没配SSL_CA，MySQL 仍会加密通信，但不验证服务端身份，中间人可伪造证书完成握手 - 若服务端用的是自签名证书，又没把 CA 加入系统信任库，而客户端也没传
SSL_CA，那等于开了个带锁的门，钥匙扔在地上 - ThinkPHP 日志、调试工具（如 Debugbar）、异常堆栈里可能打印出完整 SQL 和参数，这些和 SSL 无关，属于应用层泄露，需单独处理（如关闭调试模式、过滤敏感字段）
SSL 配置生效后，唯一可靠验证方式是抓包看 TCP 流是否无法解析明文，而不是看 ThinkPHP 是否报错。
