根本原因是pymongo对证书读取时机和权限要求更严格，需用绝对路径、确保可读权限，并显式设置tls=True；相对路径、权限不足或混用ssl_ca_certs会导致tlsCAFile失效。
SSL连接MongoDB时tlsCAFile路径不生效的常见原因
根本问题往往不是路径写错，而是Python驱动（pymongo）对证书文件的读取时机和权限要求比命令行工具更严格。比如用mongosh能连上，但pymongo.MongoClient报ssl.SSLError: [SSL: TLSV1_ALERT_UNKNOWN_CA]，大概率是tlsCAFile指向的文件没被实际加载——可能因路径是相对路径、文件不可读、或被系统缓存旧证书。
pymongo中正确设置tlsCAFile的三种写法
必须用绝对路径，且确保Python进程有读权限。推荐以下方式之一：
- 用
os.path.abspath拼接：tlsCAFile=os.path.abspath("./certs/ca.pem") - 用
pathlib.Path.resolve()：tlsCAFile=str(Path("certs/ca.pem").resolve()) - 硬编码绝对路径（仅测试环境）：
tlsCAFile="/etc/mongodb/ca.pem"
注意：不要用~缩写，os.path.expanduser()不会自动触发；也不要依赖当前工作目录——Flask/FastAPI等框架启动后os.getcwd()可能已变。
带用户名密码+SSL认证的完整连接参数组合
光有tlsCAFile不够，MongoDB Atlas或企业版常要求同时开启TLS并传入凭据。关键参数缺一不可：
立即学习“Python免费学习笔记（深入）”；
-
tls=True（必须显式开启，不能只靠tlsCAFile） -
tlsCAFile指向PEM格式的根证书（不是pfx/p12） -
username和password需URL编码（尤其含+、/等字符），建议用urllib.parse.quote_plus() - 连接字符串里不要重复写
ssl_ca_certs，它和tlsCAFile是同一配置的不同入口，混用会冲突
示例：
from pymongo import MongoClient
import urllib.parse
username = urllib.parse.quote_plus("my-user")
password = urllib.parse.quote_plus("p@ss/w0rd")
host = "cluster.example.com"
uri = f"mongodb://{username}:{password}@{host}:27017/?tls=true&tlsCAFile=%2Fetc%2Fmongo%2Fca.pem&authSource=admin"
client = MongoClient(uri)
验证证书是否真被加载的调试方法
驱动不会报“找不到ca.pem”，只会静默失败或抛出模糊SSL错误。最直接的验证方式是临时加日志：
- 在连接前加
print("CA file exists:", os.path.exists(tlsCAFile)) - 用
openssl x509 -in /path/to/ca.pem -text -noout确认文件可读且是有效PEM - 启动Python时加环境变量
SSLKEYLOGFILE=/tmp/sslkey.log，再用Wireshark抓包看Client Hello里是否带Certificate Authorities扩展（高级但准）
容易被忽略的是：某些Linux发行版（如Alpine）默认不带系统CA，即使你指定了tlsCAFile，pymongo仍会尝试调用ssl.get_default_verify_paths()，若该路径下无有效CA，可能干扰验证逻辑。
