客户端证书PEM文件必须为未加密单文件，严格按“客户端证书→中间CA→私钥”顺序合并，不支持PFX/P12、分离文件或密码保护私钥。
如何配置 pymongo 连接字符串启用双向 TLS（mTLS）
必须显式开启 ssl=True，且服务端证书验证不可跳过——ssl_cert_reqs=ssl.CERT_REQUIRED 是硬性前提。仅设 ssl=True 默认只验证服务端，不触发客户端证书发送。
关键参数组合如下：
-
tls=True（推荐，替代已弃用的ssl=True） -
tlsCertificateKeyFile：指向你的客户端 PEM 文件（含私钥 + 证书链，**不能是 PFX/P12**） -
tlsCAFile：CA 根证书路径，用于验证 MongoDB 服务端身份 -
tlsAllowInvalidHostnames=False（默认值，**切勿设为 True**，否则绕过主机名校验）
示例连接字符串：mongodb://user:pass@host:27017/db?tls=true&tlsCertificateKeyFile=%2Fpath%2Fto%2Fclient.pem&tlsCAFile=%2Fpath%2Fto%2Fca.crt&tlsAllowInvalidHostnames=false
客户端证书 PEM 文件必须满足什么格式要求
pymongo 不接受分离的 .crt 和 .key 文件，也不支持加密私钥（带密码的 PEM）。必须合并为单个未加密 PEM，顺序严格为：客户端证书 → 中间 CA（如有）→ 私钥。
常见错误：
立即学习“Python免费学习笔记（深入）”；
- 用
openssl pkcs12 -in client.pfx -clcerts -nokeys只导出证书，漏掉私钥 → 连接报ssl.SSLError: [SSL] PEM lib (_ssl.c:4289) - 私钥被
-----BEGIN ENCRYPTED PRIVATE KEY-----包裹 → 报ValueError: Could not deserialize key data - 证书链顺序颠倒（私钥在前）→ 握手失败，日志显示
SSL routines::unknown protocol
安全合并命令：cat client.crt intermediate.crt > client.pem && cat client.key >> client.pem
为什么 pymongo 报错 “certificate verify failed: IP address mismatch”
MongoDB 服务端证书若用 IP 地址签发（而非 DNS 名），Python 的 OpenSSL 默认拒绝——它要求 Subject Alternative Name（SAN）中明确列出该 IP。这不是 pymongo 问题，而是底层 SSL 库行为。
解决路径只有两条：
- 重签服务端证书，确保
subjectAltName=IP:192.168.1.100存在（MongoDB 配置中net.tls.allowConnectionsWithoutCertificates无关此问题） - 改用域名访问，并在本地
/etc/hosts或 DNS 解析到该 IP（证书 SAN 必须含该域名）
绝对不要设置 tlsInsecure=true 或 ssl_match_hostname=False ——这等于放弃证书校验，失去双向认证意义。
连接时如何快速验证证书交换是否真正发生
最直接的方式是抓包看 TLS handshake 流程：用 tshark -i lo -Y 'tls.handshake.type == 11' -T fields -e ip.src -e tls.handshake.certificate（Linux/macOS），若看到客户端发送了 Certificate 消息，说明 mTLS 已激活。
代码层辅助判断：
- 捕获
pymongo.errors.ConnectionFailure并检查异常信息是否含tlsv1 alert unknown ca（服务端拒收客户端证书）或tlsv1 alert certificate required（服务端未配置 requireClientCert） - 启用 pymongo 日志：
import logging; logging.basicConfig(level=logging.DEBUG)，搜索Starting TLS handshake和Sending client certificate
最容易被忽略的是 MongoDB 服务端配置本身：即使客户端全配对，若 net.tls.mode=requireTLS 但未设 net.tls.CAFile 或 net.tls.allowConnectionsWithoutCertificates=false 缺失，服务端根本不会索要客户端证书。
