MySQL 8.0+ 启用 require_ssl 后连接失败，主因是服务端未真正启用SSL：先检查 have_ssl 是否为 DISABLED/NO；确保 ssl_ca、ssl_cert、ssl_key 为绝对路径且 mysql 用户可读；证书需按官方推荐生成，禁用 subjectAltName、使用 sha256WithRSAEncryption、私钥不加密。
MySQL 8.0+ 启用 require_ssl 后客户端连不上？先确认 server 端证书是否被正确加载
MySQL 启用 require_ssl 后连接拒绝，90% 是因为服务端没真正启用 SSL，而非客户端配置问题。检查 SHOW VARIABLES LIKE 'have_ssl'; 和 SHOW VARIABLES LIKE 'ssl_mode'; —— 如果 have_ssl 返回 DISABLED 或 NO，说明 MySQL 启动时压根没读到证书文件，后续所有客户端配置都白搭。
关键点：ssl_ca、ssl_cert、ssl_key 这三个配置项必须指向**绝对路径**，且 MySQL 进程（通常是 mysql 用户）要有读取权限。常见坑是路径写相对路径、证书放错目录（比如丢进 /etc/mysql/conf.d/ 却没在主配置里 include），或 SELinux 阻止访问。
- 证书文件建议统一放在
/var/lib/mysql-ssl/，避免和配置文件混在一起 - 用
sudo -u mysql ls -l /var/lib/mysql-ssl/server-cert.pem验证可读性 - MySQL 配置中必须显式指定：
[mysqld] ssl_ca = /var/lib/mysql-ssl/ca.pem ssl_cert = /var/lib/mysql-ssl/server-cert.pem ssl_key = /var/lib/mysql-ssl/server-key.pem
用 openssl 生成兼容 MySQL 的自签名证书：别用 RSA 4096 + SHA256 组合
MySQL 8.0.28+ 对证书签名算法更严格，用 openssl req -x509 -sha256 默认生成的证书可能被拒绝（报错 SSL connection error: SSL is required but the server doesn't support it）。根本原因是 MySQL 内部使用 yaSSL 或 OpenSSL 旧版本时，不支持某些扩展字段或密钥用法标记。
稳妥做法是按 MySQL 官方推荐流程生成，核心是禁用 subjectAltName 扩展、强制使用 sha256WithRSAEncryption、且私钥不加密：
- 生成 CA 私钥与证书：
openssl genrsa 2048 > ca-key.pem openssl req -new -x509 -nodes -sha256 -days 3650 -key ca-key.pem -out ca.pem
- 生成服务器私钥（不加密！否则 MySQL 启动失败）：
openssl req -newkey rsa:2048 -days 3650 -nodes -keyout server-key.pem -out server-req.pem
- 签发服务器证书（关键：用
-extensions server_cert并确保配置段存在）：openssl x509 -req -in server-req.pem -days 3650 -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem -extfile <(echo "[server_cert] basicConstraints=CA:FALSE\nkeyUsage=digitalSignature,keyEncipherment\nextendedKeyUsage=serverAuth")
客户端连接时提示 “SSL connection error: protocol version mismatch” 怎么办
这不是证书问题，而是客户端和服务端 TLS 协议版本协商失败。MySQL 8.0 默认只允许 TLSv1.2+，但老版本客户端（如 MySQL 5.7 客户端、某些 JDBC 驱动）默认尝试 TLSv1.0。现象是 mysql -u root -p --ssl-mode=REQUIRED 报错，但 SHOW STATUS LIKE 'Ssl_version'; 显示为空。
解决方式分两端：
- 服务端临时放宽（仅测试）：在
my.cnf加tls_version = TLSv1.2,TLSv1.3（MySQL 8.0.16+ 支持），避免写TLSv1,TLSv1.1—— 这些已不安全且新版 MySQL 编译时可能禁用 - 客户端强制指定协议：MySQL 命令行加
--ssl-fips-mode=OFF --tls-version=TLSv1.2；JDBC 连接串加&enabledTLSProtocols=TLSv1.2 - 验证是否生效：
mysql -u root -p --ssl-mode=REQUIRED -e "SHOW STATUS LIKE 'Ssl_version';"应返回TLSv1.2或TLSv1.3
require_ssl 是全局开关，但用户粒度控制更实用
require_ssl 是全局系统变量，设为 ON 会强制所有用户走 SSL，包括本地 socket 连接（这反而导致 mysql -u root 直接失败）。实际生产中几乎不用它，而是用用户级 REQUIRE SSL：
- 创建用户时指定：
CREATE USER 'appuser'@'%' IDENTIFIED BY 'pwd' REQUIRE SSL;
- 已有用户追加：
ALTER USER 'appuser'@'%' REQUIRE SSL;
- 验证：
SELECT user, host, ssl_type FROM mysql.user WHERE user = 'appuser';——ssl_type应为ANY - 注意：REQUIRE SSL 不校验 CA，只保证连接加密；若要校验证书颁发者，得用
REQUIRE SUBJECT '/CN=MyAppServer'或REQUIRE ISSUER '/CN=MyCA'，但维护成本陡增
真正难的是证书轮换——MySQL 不支持热加载新证书，每次换证都要重启 mysqld，且客户端缓存的 CA 可能未更新。线上环境务必提前同步新 ca.pem 到所有应用节点，再滚动重启数据库。
