MySQL客户端SSL协议版本不匹配需统一TLS版本，服务端检查tls_version，客户端显式指定TLSv1.2；REQUIRE SSL需配合--ssl-mode=REQUIRED测试；openssl s_client验证证书链；PHP mysqli须绝对路径设SSL参数并启用MYSQLI_CLIENT_SSL。
MySQL客户端连接报错 SSL connection error: protocol version mismatch 怎么办
这是服务端和客户端 SSL 协议版本不兼容的典型表现，不是证书没配对，而是握手阶段就失败了。MySQL 5.7+ 默认启用 TLSv1.2，但旧版客户端（比如 MySQL 5.6 客户端或某些 Python mysql-connector-python 低版本）可能只支持 TLSv1.0。
- 检查服务端支持的协议：
SHOW VARIABLES LIKE 'tls_version';，常见值是'TLSv1.2,TLSv1.3' - 客户端连接时显式指定协议：加参数
--ssl-mode=REQUIRED --tls-version=TLSv1.2（MySQL 8.0+ CLI） - Python 中用
mysql.connector.connect(..., tls_versions=['TLSv1.2'])，别依赖默认值 - Java 的
mysql-connector-j需在 URL 加&enabledTLSProtocols=TLSv1.2，否则可能 fallback 到不安全协议
为什么 GRANT ... REQUIRE SSL 后用户仍能非加密登录
因为 MySQL 的 REQUIRE SSL 只在认证阶段强制加密通道，但不阻止客户端主动降级——只要连接时没带 --ssl-mode 或等效参数，MySQL 服务端不会主动中断明文连接，而是让认证失败（错误码 HY000: SSL is required）。实际中很多人没看到这个错误，是因为客户端自动重试了非 SSL 模式。
- 确认用户权限是否生效：
SELECT user, host, ssl_type FROM mysql.user WHERE user = 'xxx';，ssl_type应为ANY或X509 - 测试必须用明确禁用 SSL 的方式触发失败：
mysql -u xxx -p --ssl-mode=DISABLED，此时应报错Access denied for user ... (using password: YES) - 注意：如果用户同时有多个
host条目（如'user'@'%'和'user'@'localhost'），localhost默认走 socket 连接，绕过网络层和 SSL 检查
用 openssl s_client 验证 MySQL 服务端证书是否可被信任
别只信客户端日志里的 “SSL enabled”，得从 TCP 层确认服务端真实下发的证书链和协议协商结果。这是排查中间人、自签名证书未导入、CA 路径错误等问题最直接的方式。
- 执行：
openssl s_client -connect your-mysql-host:3306 -servername your-mysql-host（注意加-servername触发 SNI，尤其多域名部署时） - 关键看输出里是否有
Verify return code: 0 (ok)；若为 20（unable to get local issuer certificate），说明客户端没加载对应 CA 证书 - 如果返回空或立即断开，大概率是 MySQL 没监听 SSL 端口（确认
have_ssl为YES，且bind_address没锁死127.0.0.1） - 证书过期会显示
verify error:num=10:certificate has expired，这类问题上线后容易被忽略
PHP mysqli 连接 MySQL SSL 时 MYSQLI_OPT_SSL_CA 不生效
PHP 的 mysqli 扩展对 SSL 参数极其敏感，MYSQLI_OPT_SSL_CA 必须在 mysqli_init() 之后、mysqli_real_connect() 之前设置，且路径必须是绝对路径——相对路径、符号链接、甚至 __DIR__ 拼接都可能静默失败。
- 正确写法：
mysqli_options($link, MYSQLI_OPT_SSL_CA, '/etc/mysql/ca.pem'); mysqli_options($link, MYSQLI_OPT_SSL_CERT, '/etc/mysql/client-cert.pem'); mysqli_options($link, MYSQLI_OPT_SSL_KEY, '/etc/mysql/client-key.pem'); mysqli_real_connect($link, $host, $user, $pass, $db, $port, null, MYSQLI_CLIENT_SSL);
- 漏掉
MYSQLI_CLIENT_SSL标志位，前面所有mysqli_options都无效 - PHP 7.4+ 支持 DSN 方式：
mysql:host=localhost;dbname=test;charset=utf8mb4;sslmode=require，但仅限pdo_mysql，mysqli不支持 - 调试技巧：连接后执行
SELECT * FROM performance_schema.status_by_thread WHERE variable_name = 'Ssl_cipher';，结果为空说明 SSL 未启用
证书路径权限、客户端协议支持、权限语句与连接行为的错位——这些点不在文档首页，但线上一出问题，基本就卡在这几处。
