配置MySQL SSL连接需先确认have_ssl=YES，生成证书并配置my.cnf中ssl-ca、ssl-cert、ssl-key绝对路径，重启服务；创建REQUIRE SSL用户；PHP用MYSQLI_CLIENT_SSL标志连接并验证Ssl_cipher非空。
phpEnv 是 Windows 下的 PHP 集成环境（类似 XAMPP、WAMP），它默认自带 MySQL，但不默认启用 SSL，也不预置可信 CA 证书。想让 PHP 通过 phpEnv 连上加密的 MySQL，关键不是“解密数据库”，而是让 mysqli 或 PDO 在连接时真正走 TLS 握手，并验证服务器身份——这需要服务端和客户端两头都配对，缺一不可。
确认 MySQL 服务端已启用 SSL（phpEnv 环境下常被忽略）
phpEnv 的 MySQL 默认关闭 SSL，即使你改了配置，也可能因路径错误或权限问题未生效。必须手动验证：
- 打开 phpEnv 自带的 MySQL 命令行（或使用
mysql -u root -p），执行：SHOW VARIABLES LIKE 'have_ssl';—— 返回YES才算支持；若为DISABLED，说明没启 SSL，后续所有 PHP 配置都白搭 - 再查：
SHOW VARIABLES LIKE 'ssl_%';—— 关注ssl_ca、ssl_cert、ssl_key是否有非空路径；若为空，需先生成证书并写入配置 - phpEnv 的 MySQL 配置文件通常在：
C:\phpEnv\MySQL\my.ini（或C:\phpEnv\MySQL\my.cnf），在[mysqld]段末尾添加三行（路径必须是绝对路径，且文件真实存在、PHP 进程可读）：ssl-ca=C:/phpEnv/MySQL/ssl/ca.pemssl-cert=C:/phpEnv/MySQL/ssl/server-cert.pemssl-key=C:/phpEnv/MySQL/ssl/server-key.pem - 证书可使用
mysql_ssl_rsa_setup --datadir="C:/phpEnv/MySQL/data" --uid=mysql生成（注意路径分隔符用正斜杠或双反斜杠），生成后把ca.pem、server-cert.pem、server-key.pem放到上述ssl/目录，并确保server-key.pem权限为600（Windows 下可用属性 → 安全 → 取消继承并仅保留 Administrators 和 SYSTEM）
PHP 代码中用 mysqli 启用 SSL：别调用 ssl_set()，直接传标志
phpEnv 的 PHP 版本通常 ≥7.4，mysqli 支持 MYSQLI_CLIENT_SSL 标志直连，**不需要也绝不该调用 mysqli::ssl_set()**——这是最常见坑：一调就报 tlsv1 alert unknown ca，因为 phpEnv 没配客户端证书，硬塞路径反而触发校验失败。
- 正确做法是：初始化连接后，在
real_connect()第 7 个参数传MYSQLI_CLIENT_SSL，例如：$mysqli = mysqli_init();<br>$mysqli->options(MYSQLI_OPT_SSL_MODE, MYSQLI_SSL_MODE_REQUIRED);<br>$mysqli->real_connect('127.0.0.1', 'secure_user', 'pass', 'testdb', 3306, null, MYSQLI_CLIENT_SSL); - 务必在
real_connect()前调用options(MYSQLI_OPT_SSL_MODE, ...)，否则标志可能被忽略 - 连接成功后，立即检查是否真加密：
$result = $mysqli->query("SHOW STATUS LIKE 'Ssl_cipher'");<br>var_dump($result->fetch_row());—— 第二项不为NULL或空字符串才算成功 - 如果仍报错
unknown ca，说明 MySQL 用的是自签名证书，而 Windows 的 PHP OpenSSL 不信任它；此时最稳妥方案是把ca.pem内容追加到系统 OpenSSL 信任库（如C:\phpEnv\PHP\extras\ssl\cacert.pem），或临时用MYSQLI_CLIENT_SSL_DONT_VERIFY_SERVER_CERT（仅测试，生产禁用）
PDO 连接时 DSN 必须带 sslmode=REQUIRED，且 PHP ≥7.2
phpEnv 若用的是 PHP 7.1 或更早，sslca、sslcert 等 DSN 参数会被静默忽略——连接看似成功，实则走明文。必须确认版本：
立即学习“PHP免费学习笔记（深入）”；
- 运行
php -v查看 PHP 版本；若 mysqli 方案 - DSN 示例（路径用正斜杠）：
mysql:host=127.0.0.1;port=3306;dbname=testdb;charset=utf8mb4;sslmode=REQUIRED;sslca=C:/phpEnv/MySQL/ssl/ca.pem -
sslmode=REQUIRED是强制项，不能省；sslca路径必须指向服务端的ca.pem（不是客户端证书），否则握手失败 - 创建
PDO实例后，建议检查：var_dump($pdo->getAttribute(PDO::ATTR_SSL_MODE));—— 应返回整数2（对应PDO::SSL_MODE_REQUIRED）
真正卡住的点往往不在 PHP 代码，而在 MySQL 配置路径是否真实可读、证书是否被 Windows 权限拦住、以及 PHP 版本是否吃透 sslmode 参数——这些细节一旦错位，错误信息几乎一样，但根因完全不同。
