MySQL迁移后SSL连接失败90%因证书过期或缺失subjectAltName：先用openssl检查CA有效期，云数据库查控制台ValidTill；证书须含DNS/IP等subjectAltName；ssl_ca路径须绝对、权限600、属主mysql；客户端用--ssl-mode=VERIFY_CA快速定位问题。
直接换证书，别修配置。MySQL迁移本身不碰证书，但新环境（尤其是云数据库或升级后的 8.0.33+）会严格校验证书有效期和 subjectAltName 字段，旧证书哪怕只过期1天，连接就会断在 TLS 握手阶段，报错类似 SSL connection error: certificate verify failed 或 unable to get issuer certificate。
先确认是不是证书真过期了，不是配置写错了
别急着改 my.cnf。90% 的“迁移后连不上”其实是服务端证书已失效，而 MySQL 升级或迁移后启用了更严格的校验逻辑。
- 登录新 MySQL 实例，执行
SHOW VARIABLES LIKE 'ssl_cert_expire_date';—— 如果返回空或日期早于2026-06-02，就是它了 - 如果查不到这个变量（如 MySQL < 8.0.29），就用 OpenSSL 直接看文件：
openssl x509 -in /var/lib/mysql/ca.pem -text -noout | grep -E "(Not Before|Not After)" - 云数据库（RDS/AWS/腾讯云）不能读文件，得去控制台「SSL 设置」页查
ValidTill字段，或调 API
新证书必须带 subjectAltName，否则 MySQL 8.0+ 拒绝加载
用 OpenSSL 生成时漏掉 subjectAltName，MySQL 启动时不会报错，但 have_ssl 会是 DISABLED，SHOW STATUS LIKE 'Ssl_cipher'; 返回空——你根本意识不到证书被跳过了。
- 配置文件里必须有
[req_ext]段，并明确写：subjectAltName = DNS:db.example.com,IP:10.0.1.5,IP:127.0.0.1 -
DNS:要覆盖客户端实际连接用的域名或localhost；IP:要包含所有可能访问的地址（含内网 IP） - 生成命令示例：
openssl req -new -key server-key.pem -out server-req.csr -subj "/CN=db.example.com" -addext "subjectAltName = DNS:db.example.com,IP:10.0.1.5"（OpenSSL 3.0+ 支持-addext）
ssl-ca 路径和权限比证书内容还关键
MySQL 启动时读不到 ssl-ca 文件，日志里往往只写一句 Could not set ssl_mode，连路径错在哪都不说。它静默失败，然后降级为非 SSL 连接（如果允许的话）。
-
ssl-ca必须写在[mysqld]段，不能放在[client]或[mysql] - 路径必须是绝对路径，例如
/etc/mysql/ssl/ca.pem，不能用./ca.pem或~/ssl/ca.pem - 文件属主必须是
mysql用户（Linux），权限必须是600；644都会导致加载失败 - 重启前手动测试可读性：
sudo -u mysql cat /etc/mysql/ssl/ca.pem | head -1
客户端连不上？先用 --ssl-mode=VERIFY_CA 定位责任方
服务端证书更新后，客户端可能还在用旧 CA、缓存了错误链，或 JDBC URL 没同步。临时绕过验证只能掩盖问题，用 --ssl-mode=VERIFY_CA 才能暴露真实瓶颈。
- 命令行测试：
mysql --ssl-mode=VERIFY_CA --ssl-ca=/etc/mysql/ssl/ca.pem -u app_user -h db.example.com -p - 如果报
unable to get issuer certificate：说明客户端传的 CA 不是服务端当前签发的那张 - 如果连
--ssl-mode=REQUIRED都失败：问题大概率在服务端 TLS 协议或 cipher 不匹配（比如 JDK 用 IBM SDK，cipher 名称不兼容） - JDBC URL 要补全参数：
?useSSL=true&serverTimezone=Asia/Shanghai&enabledTLSProtocols=TLSv1.2（避免驱动自动协商出 TLSv1.0）
最容易被忽略的是：证书里没加 subjectAltName，或者 ssl-ca 权限是 644。这两点不解决，其他操作全是白忙。
