PDO连接MySQL启用SSL必须同时配置证书路径与模式参数，漏配PDO::MYSQL_ATTR_SSL_CA或路径错误会导致SSL connection error且无明确提示；服务端需开启SSL并确认用户ssl_type，客户端证书路径须为PHP可读的绝对路径且权限正确。
PHP 用 PDO 连 MySQL 开启 SSL 加密，不是加个开关就行，而是必须把证书路径和模式参数原样透传给底层驱动；漏掉 PDO::MYSQL_ATTR_SSL_CA 或路径写错，连接直接报 SSL connection error，且错误日志里不会提示“你少配了 CA”——它只会假装是权限或网络问题。
为什么只设 PDO::MYSQL_ATTR_SSL_MODE 还连不上
常见现象：代码里写了 PDO::MYSQL_ATTR_SSL_MODE => PDO::MYSQL_ATTR_SSL_MODE_REQUIRED，但连接仍失败，错误可能是 SQLSTATE[HY000] [2002] SSL connection error 或更误导人的 Access denied for user。
根本原因不是账号密码错，而是 PDO 在 mode 为 REQUIRED 时，**强制要求服务端提供有效证书链**，而客户端必须用 PDO::MYSQL_ATTR_SSL_CA 指向正确的 CA 证书文件才能完成校验。没这个路径，PDO 就拒绝握手。
- CA 证书必须是服务器端启用 SSL 时生成的（比如阿里云 RDS 控制台下载的
ca.pem），不能用自签名的根证书随便替换 - 路径必须是 PHP 进程能读取的**绝对路径**，
/etc/mysql/ssl/ca.pem可以，./certs/ca.pem或https://xxx/ca.pem一律失败 - 文件权限要检查：PHP 用户（如 www-data）必须有读权限，
chmod 644 ca.pem是安全底线
params 数组是唯一合法入口，别往 DSN 里硬塞
ThinkPHP、Laravel 或原生 PDO 实例化时，SSL 参数**只能塞进连接配置的 params 数组**，不能拼在 DSN 字符串里（比如 mysql:host=...;sslmode=required 是无效的）。
立即学习“PHP免费学习笔记（深入）”；
正确写法示例（原生 PDO）：
$options = [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::MYSQL_ATTR_SSL_CA => '/etc/mysql/ssl/ca.pem',
PDO::MYSQL_ATTR_SSL_MODE => PDO::MYSQL_ATTR_SSL_MODE_REQUIRED,
];
$pdo = new PDO('mysql:host=rm-xxx.mysql.rds.aliyuncs.com;dbname=test', $user, $pass, $options);
- 键名必须是
PDO::开头的常量，写成字符串'mysql_attr_ssl_ca'或小写会被忽略 - 值类型要匹配：CA/CERT/KEY 是字符串路径，MODE 是整数常量，不能传字符串
'REQUIRED' - 双向认证（mTLS）需额外加
PDO::MYSQL_ATTR_SSL_CERT和PDO::MYSQL_ATTR_SSL_KEY，但私钥不能带密码
服务端没开 SSL 或用户没强制 SSL，客户端配再全也没用
客户端配对了，但连接还是报 SSL 错误？先别改 PHP 代码，去 MySQL 服务端确认两件事：
- 执行
SHOW VARIABLES LIKE '%ssl%';，确保have_ssl = YES，且ssl_ca、ssl_cert非空 - 查用户权限：
SELECT user, host, ssl_type FROM mysql.user WHERE user = 'your_user';，如果ssl_type是ANY或X509，说明该用户**必须提供有效证书**，此时光配 CA 不够，还得补上 CERT 和 KEY - 云数据库（如腾讯云 CDB、阿里云 RDS）默认开启 SSL，但部分旧实例可能关闭；控制台“数据安全”页可一键开启并下载 CA
自签名证书和内网环境该用哪个 SSL 模式
开发或内网测试时常用自签名证书，但 PDO::MYSQL_ATTR_SSL_MODE_VERIFY_IDENTITY 会校验域名 CN，而自签名证书通常没填或填的是 IP，导致连接直接中断。
稳妥做法：
- 内网/测试环境统一用
PDO::MYSQL_ATTR_SSL_MODE_REQUIRED：只加密，不校验服务端身份 - 生产环境（尤其公有云）优先用
PDO::MYSQL_ATTR_SSL_MODE_VERIFY_CA：校验 CA 签发链，防中间人，但不校验域名 -
VERIFY_IDENTITY仅当服务端证书 CN 匹配连接 host 且你确信 DNS 可控时才启用，多数 RDS 场景不适用
证书路径、MODE 常量、服务端状态这三者必须同时对齐，缺一不可；调不通时，先看 MySQL 的 ssl_type 返回值，再核对 PHP 里的 params 键名和路径，最后检查文件权限——顺序错了，花半天也白搭。
