rs.reconfig()报“SSL configuration mismatch”是因为MongoDB 5.0+启用x.509后强制要求所有成员的TLS配置（sslMode、sslPEMKeyFile、sslCAFile、sslClusterFile）完全一致，任一节点路径错误、权限不符（需600且属主mongod）或配置未同步，均导致校验失败。
副本集无法自动重签名，必须手动轮换所有节点的 TLS 证书，并确保配置完全同步；否则 rs.reconfig() 会因 SSL 配置不一致直接失败。
为什么 rs.reconfig() 报 “SSL configuration mismatch”
MongoDB 5.0+ 在启用 x.509 认证后，强制要求副本集中所有成员的 TLS 配置（包括 sslMode、sslPEMKeyFile、sslCAFile、sslClusterFile）完全一致。哪怕仅一个节点的 sslClusterFile 路径指向旧证书，或权限未更新，rs.reconfig() 就会中止并返回该错误，不提示具体是哪个字段不匹配。
- 常见诱因：新证书已部署到部分节点，但
mongod.conf中的sslClusterFile路径未更新，或文件未chown mongod:mongod - 验证方式：在每个节点上执行
db.adminCommand({getCmdLineOpts: 1})，比对parsed.security.tls下全部字段 - 注意：即使只改一个节点的证书，也必须全量重发新配置，不能“只更新那个节点”
重签名必须停机滚动更新
无法在线完成证书轮换——MongoDB 不支持运行时热加载 TLS 证书链。必须按顺序停掉节点、替换证书与配置、重启、等待同步完成，再操作下一个节点。
- 顺序建议：先从 secondary 开始，最后动 primary；primary 重启后会触发一次选举，需确保其余节点证书已就绪
- 关键检查点：重启后执行
rs.status().members[n].stateStr，确认为SECONDARY或PRIMARY，而非STARTUP2卡住（说明证书加载失败） - 若卡在
STARTUP2，立刻查日志：grep -i "ssl\|certificate" /var/log/mongodb/mongod.log
rs.reconfig() 前必须 force version +1 且清理失效节点
证书更新后，rs.conf() 中的 version 字段必须严格递增，且配置中不能含已下线或不可达的成员；否则 rs.reconfig() 会因多数写入校验失败而拒绝提交。
- 正确做法：
conf = rs.conf(); conf.version = conf.version + 1; conf.members.forEach(m => { if (m.host === "old-host:27017") m.host = "new-host:27017"; }); rs.reconfig(conf, {force: true}) - 禁止硬编码
version: 5—— 多节点并发修改时极易冲突 - 如果旧 host 已彻底下线，务必先执行
rs.remove("old-host:27017")，再生成新配置 - 启用
writeConcernMajorityJournalDefault: true（5.0+ 默认）后，rs.reconfig()必须得到多数节点落盘确认，否则报Quorum check failed
最容易被忽略的是：证书更新后，sslClusterFile 的私钥权限必须为 600，且属主必须是 mongod 进程用户；哪怕其他配置全对，权限错一位，节点就起不来。
