MySQL错误日志不直接报“证书已过期”，而是显示SSL error: unable to get issuer certificate等模糊错误；应先查log_error路径，再用openssl检查ca.pem的Not After时间是否早于2026-06-02。
MySQL错误日志里找不到“证书过期”字样，但能挖出关键线索
MySQL本身不会在错误日志里直接写“证书已过期”，而是把 OpenSSL 的底层校验失败转成模糊报错，比如 SSL error: unable to get issuer certificate 或 SSL connection error: certificate verify failed。这类错误90%指向证书链问题，而其中最大概率就是服务端 CA 或 server-cert 过期。
先确认错误日志路径：SHOW VARIABLES LIKE 'log_error';。常见位置是 /var/log/mysql/error.log 或 /var/lib/mysql/hostname.err。打开后重点搜这些关键词：
-
SSL error、certificate verify failed unable to get issuer certificate-
unknown protocol（有时是 TLS 版本不匹配，但也可能是证书触发的握手提前终止）
看到 SSL error: unable to get issuer certificate 别急着重装证书
这个错误常被误判为证书路径错或文件缺失，其实更大概率是 CA 证书本身失效——尤其是自签名 CA 的 ca.pem 过期了。MySQL 8.0.28+ 和 5.7.44+ 对证书有效期校验变严格，旧版本可能默默跳过，升级后就暴露。
验证方式很简单：在 MySQL 服务器上运行
解析 MySQL 8.0 的 DDL 脚本，并将表结构导出为 Excel 格式。适用于用户需将 MySQL 的 `CREATE TABLE` 语句转换为结构化的 Excel 文件场景，导出内容包含字段名、数据类型、长度及精度等信息。支持多张表的批量处理，每张表对应 Excel 中的一个独立工作表。适用于数据库文档编写、数据字典生成及模式分析等任务。
openssl x509 -in /var/lib/mysql/ca.pem -text -noout | grep -E "(Not Before|Not After)"
如果 Not After 时间早于 2026-06-02（当前日期），就是它了。注意：云数据库（如阿里云 RDS）查不到这个文件，得去控制台看「SSL/TLS 设置」页的 ValidTill 字段。
客户端连不上时，错误日志可能只显示“Connection refused”或空行
这不是网络问题，而是 SSL 握手失败后服务端直接断连，日志里甚至没留下 SSL 相关记录。此时必须结合客户端行为反推：
- 用
mysql -u root -p --ssl-mode=VERIFY_CA --ssl-ca=/path/to/ca.pem显式指定 CA，若报错变具体（如X509_check_private_key:key values mismatch），说明证书/私钥不匹配 - 临时改用
--ssl-mode=REQUIRED（不验证证书），能连上就基本锁定是证书有效性问题 - 抓包看 TLS 握手阶段是否在 Server Hello 后立刻收到
Alert: fatal: certificate_expired（Wireshark 过滤tls.handshake.type == 1和tls.alert.level == 2）
证书更新后错误日志还在报旧错误？检查 MySQL 进程是否重载了配置
换掉 ca.pem 和 server-cert.pem 文件后，MySQL 不会自动重新读取——必须执行 ALTER INSTANCE RELOAD TLS;（MySQL 8.0.16+）或重启 mysqld 进程。否则日志里持续出现的仍是旧证书的校验失败痕迹。
另外，客户端如果硬编码了旧 ssl_ca 路径（比如 Python 代码里写了 ssl_ca="/old/path/ca.pem"），错误日志不会提示路径错，只会继续报 certificate verify failed。这种细节最容易被忽略。
