MySQL安装后默认不启用加密传输，必须同时满足服务端have_ssl=YES、用户权限含REQUIRE SSL、客户端真实完成TLS握手三条件，缺一即静默降级为明文；需验证证书路径、权限（私钥600）、格式（PEM），并强制配置require_secure_transport=ON。
MySQL安装后默认不启用加密传输，即使生成了证书，连接仍是明文——必须手动配置服务端强制策略、用户权限和客户端行为三者联动，缺一不可。
确认have_ssl是否真为YES，而不是DISABLED
很多问题卡在第一步：你改了配置、放了证书、重启了服务，但SHOW VARIABLES LIKE 'have_ssl'返回DISABLED或空值。这不是配置没生效，而是mysqld启动时根本没加载OpenSSL模块。
- 执行
SHOW VARIABLES LIKE 'ssl_ca'、ssl_cert、ssl_key，三者必须返回非空的绝对路径，且对应文件真实存在 -
have_ssl = DISABLED常见于MariaDB精简版、Alpine镜像、或编译时未加-DWITH_SSL=system；重装官方二进制包比修编译更可靠 - 顺带查
SHOW VARIABLES LIKE 'tls_version'，确认支持TLSv1.2或TLSv1.3；旧客户端连不上时可临时放宽，但别长期开TLSv1.0
证书路径、格式、权限三者必须同时合规
MySQL对证书极其挑剔：只认绝对路径、只读PEM格式、私钥权限必须是600。相对路径、~/、权限>600的私钥都会导致启动失败或连接被拒。
- 优先用内置工具生成（MySQL 5.7.6+）：
mysql_ssl_rsa_setup --datadir=/var/lib/mysql --uid=mysql，它自动处理subjectAltName，避免X509_V_ERR_IP_ADDRESS_MISMATCH - 证书必须放在MySQL进程有读权限的目录，如
/var/lib/mysql/ca.pem，不能放/root/或/home/deploy/ - 立刻修正权限：
chown mysql:mysql /var/lib/mysql/*.pem && chmod 600 /var/lib/mysql/server-key.pem；MySQL拒绝读取组/其他可读的私钥 - 私钥不能带密码——
openssl rsa -in server-key.pem -out server-key.pem可去除密码（若存在）
require_secure_transport = ON才是生产底线
require_secure_transport = ON不是可选优化项，而是强制所有TCP连接走SSL的硬开关。只设ssl=ON或仅依赖用户权限，都可能被绕过。
- 编辑
/etc/my.cnf或/etc/mysql/mysql.conf.d/mysqld.cnf，只在[mysqld]段添加：ssl_ca = /var/lib/mysql/ca.pem ssl_cert = /var/lib/mysql/server-cert.pem ssl_key = /var/lib/mysql/server-key.pem require_secure_transport = ON
- 路径必须是绝对路径，不能用
~/或相对路径；不要写在[client]段——那是客户端配置，对服务端无效 - 改完必须
systemctl restart mysqld（不是reload），SSL配置不支持热加载 - 重启后立刻检查错误日志：
tail -n 50 /var/log/mysqld.log | grep -i ssl；出现Failed to set up SSL说明证书或权限有问题
验证当前连接是否真走SSL，别信status只信Ssl_cipher
SHOW VARIABLES LIKE '%ssl%'只告诉你“配了什么”，STATUS或\s才反映当前连接实际状态。最直接的是查Ssl_cipher。
- 连上MySQL后执行：
SELECT Ssl_cipher FROM information_schema.PROCESSLIST WHERE ID=CONNECTION_ID(); - 返回为空字符串或
NULL→ 当前连接未使用SSL - 返回类似
ECDHE-ECDSA-AES256-SHA或TLS_AES_256_GCM_SHA384→ 已加密 - 客户端必须显式启用：
mysql -u app -p --ssl-mode=REQUIRED；mysql -u root -p默认不启用SSL - JDBC需加
&useSSL=true&requireSSL=true；PyMySQL需传ssl={'ca': '/path/to/ca.pem'}，只设ssl=True会跳过校验，失去防中间人意义
最容易被忽略的是：require_secure_transport=ON之后，所有未显式启用SSL的客户端连接会被直接拒绝，但错误提示仍是Access denied，不是SSL相关报错——这意味着你得从客户端日志或MySQL错误日志里翻SSL connection error才能定位真实原因。
