ThinkPHP 不支持 disable_ssl_verify 配置项，因其非 PDO 标准常量且不在框架白名单中；TP5 完全忽略，TP6 仅识别 PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT 等合法键名。
ThinkPHP 没有 disable_ssl_verify 这个配置项，任何在 database.php 或 DSN 中写这个参数的行为都无效，且会掩盖真实问题。
为什么 disable_ssl_verify 在 ThinkPHP 数据库配置里根本不起作用
这个键名不是 PDO MySQL 驱动识别的合法选项，也不是 ThinkPHP 的参数白名单成员。TP5 完全忽略它；TP6 虽然白名单更宽松，但仍不认这个字符串键——它只接受标准 PDO 常量，如 PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT。
常见错误现象：
• 配了 'disable_ssl_verify' => true，连接照常失败，日志里还是 PDO::__construct(): SSL connection failed
• 或者连接“成功”了，但 SHOW STATUS LIKE 'Ssl_client_verify' 返回 NULL 或 OK（后者说明服务端没要求校验，跟客户端配不配无关）
- 真正起作用的只有
PDO::MYSQL_ATTR_SSL_MODE和PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT（TP6 才支持后者） -
disable_ssl_verify是某些 ORM 或命令行工具（如mysqlCLI）的快捷参数，不是 PDO 规范 - 把它塞进
params数组，等于往配置里扔了个哑弹——既不报错，也不生效
PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT => false 的实际效果与风险
这个配置只在 ThinkPHP 6.x 可用，且必须配合 PDO::MYSQL_ATTR_SSL_CA 使用。它的作用不是“禁用验证”，而是告诉 PDO：「我提供了 CA 文件，但请跳过证书链校验」。
立即学习“PHP免费学习笔记（深入）”；
这等价于 OpenSSL 的 verify_mode = VERIFY_NONE，后果非常明确：
- 中间人攻击完全可行：攻击者可伪造服务端证书，只要格式合法、签名能被本地 CA 库“勉强接受”，PDO 就不会中断连接
- 无法防御域名劫持：即使证书是某 CA 签发的，只要没校验
subjectAltName，连到假的mysql-attacker.com也无感知 - MySQL 服务端若配置了
REQUIRE X509，此设置反而会导致连接直接拒绝（因为服务端要求你校验证书，而你明确说不校验）
换句话说：这不是“关闭验证”，而是“假装验证但绕过所有检查”。生产环境不应使用。
遇到 SSL 连接失败，该查什么而不是改什么
当看到 SQLSTATE[HY000] [2002] SSL connection error，优先排查以下真实原因：
-
PDO::MYSQL_ATTR_SSL_CA路径是否为绝对路径？/etc/mysql/ssl/ca.pem✅，./ca.pem❌，C:\certs\ca.pem❌（Windows 下必须用正斜杠或双反斜杠） - PHP 进程用户（如
www-data）能否读取该文件？ls -l /etc/mysql/ssl/ca.pem看权限，sudo -u www-data cat /etc/mysql/ssl/ca.pem | head -1实测可读性 - MySQL 服务端是否真启用了 SSL？执行
SHOW VARIABLES LIKE '%ssl%';，确认have_ssl = YES且ssl_ca非空 - MySQL 用户是否被强制要求 SSL？
SELECT user, host, ssl_type FROM mysql.user WHERE user = 'your_user';，若为NOT_SPECIFIED，则服务端根本不要求加密
把问题归咎于“验证太严”而试图关掉它，就像把烟雾报警器电池抠掉来解决厨房烧焦味——闻不到，不等于火灭了。
真正安全又可行的折中方案
如果服务端用的是自签名证书或内网 CA，又不想升级 TP6 或换 mysqli，唯一靠谱做法是：用 PDO::MYSQL_ATTR_SSL_MODE => PDO::MYSQL_ATTR_SSL_MODE_REQUIRED + 正确的 PDO::MYSQL_ATTR_SSL_CA，然后确保 CA 文件本身可信且完整。
这意味着你得自己维护那个 ca.pem，而不是靠框架给你“关开关”：
- 从 MySQL 服务端导出真实 CA：
openssl x509 -in /var/lib/mysql/ca.pem -outform PEM > /data/app/certs/mysql-ca.pem - 避免用浏览器导出的证书链（可能混入中间 CA 或根 CA，PDO 解析不稳定）
- 别把整个系统 CA 包（如
/etc/ssl/certs/ca-certificates.crt）直接当 MySQL CA 用——它太大，且含大量无关根证书，PDO 可能解析失败
SSL 加密不是开关，是链路；验证不是障碍，是锚点。绕过它，等于把数据库连接从“带锁保险箱”降级成“贴封条纸盒”。
