要让 phpMyAdmin 安全连接 MySQL，必须同时满足：MySQL 服务端已启用 SSL（have_ssl=YES）、目标用户被设为 REQUIRE SSL、phpMyAdmin 配置中正确声明证书路径并启用 TLS 握手——三者缺一不可，否则连接会静默降级为明文。
phpMyAdmin 本身不参与 MySQL 的 SSL 策略控制，它只是客户端；要让 phpMyAdmin 安全连接 MySQL，必须同时满足：MySQL 服务端已启用 SSL、目标用户被设为 REQUIRE SSL、phpMyAdmin 配置中正确声明证书路径并启用 TLS 握手——三者缺一不可，否则连接会静默降级为明文。
确认 MySQL 服务端 SSL 已真正启用
很多问题卡在第一步：phpMyAdmin 连不上或连上了却没加密。先登录 MySQL 执行：
SHOW VARIABLES LIKE 'have_ssl';
返回值必须是 YES；若为 DISABLED 或空，说明 mysqld 启动时根本没加载 OpenSSL 模块，后续所有配置都无效。
顺带检查证书路径是否真实可用：
立即学习“PHP免费学习笔记（深入）”；
-
SHOW VARIABLES LIKE 'ssl_ca';、ssl_cert、ssl_key必须返回非空的绝对路径（如/var/lib/mysql/ca.pem） - 用
sudo -u mysql ls -l /var/lib/mysql/ca.pem /var/lib/mysql/server-key.pem确认文件存在，且server-key.pem权限严格为600 - 若
have_ssl = DISABLED，常见于 Alpine 镜像（用 WolfSSL）、MariaDB 精简版，重装官方 MySQL 二进制包比自行编译更可靠
为 MySQL 用户设置 REQUIRE SSL
phpMyAdmin 连接的是某个 MySQL 用户（比如 phpmyadmin 或 root），该用户必须显式要求 SSL，否则即使服务端支持，连接也不强制加密。
不能在 phpMyAdmin 界面里设置这个——它的「用户账户」页面不支持 REQUIRE 子句。
必须通过 MySQL 命令行执行：
安装、修复、更新或打包一个基于 Python 和 PyMySQL 实现的 Windows `mysql` 命令。适用于用户希望在 PowerShell/CMD 中输入 `mysql` 时重定向到 Python 实现、需要交互式输入 MySQL 连接信息、需要同步到当前用户本地 bin 目录，或需要将该能力封装成可公开复用的 Codex skill。
ALTER USER 'phpmyadmin'@'localhost' REQUIRE SSL;
验证是否生效：
SELECT User, Host, ssl_type FROM mysql.user WHERE User = 'phpmyadmin';
结果中 ssl_type 字段必须为 SSL 或 X509。注意：REQUIRE SSL 不等于“全局开启 SSL”，它只约束该用户的新连接。
在 config.inc.php 中配置 phpMyAdmin 的 SSL 参数
phpMyAdmin 默认不发证书，即使 MySQL 要求 SSL，也会报错 SSL connection error: protocol version mismatch 或直接拒绝。
编辑 config.inc.php，在对应服务器配置段（通常是 $cfg['Servers'][$i]）添加：
$cfg['Servers'][$i]['ssl'] = true;<br>$cfg['Servers'][$i]['ssl_ca'] = '/var/lib/mysql/ca.pem';<br>$cfg['Servers'][$i]['ssl_cert'] = '/var/lib/mysql/client-cert.pem';<br>$cfg['Servers'][$i]['ssl_key'] = '/var/lib/mysql/client-key.pem';
关键细节：
- 所有路径必须是绝对路径，
~/或相对路径无效 -
client-cert.pem和client-key.pem是客户端证书对，不是服务端的server-cert.pem；若没生成过，可用mysql_ssl_rsa_setup --datadir=/var/lib/mysql --uid=mysql补全 - 若证书是自签名的，可临时加
$cfg['Servers'][$i]['ssl_verify'] = false;（仅测试环境，生产禁用） - 只设
'ssl' => true但不填证书路径，MySQL 服务端可能因握手失败断连，尤其当require_secure_transport = ON时
验证连接是否真走 SSL
登录 phpMyAdmin 后，执行任意查询，然后在 MySQL 中查当前会话：
SELECT VARIABLE_VALUE FROM performance_schema.session_status WHERE VARIABLE_NAME = 'Ssl_cipher';
返回非空值（如 TLS_AES_256_GCM_SHA384）才表示加密生效。别信界面提示或连接成功就以为安全了——静默降级太常见。
最容易被忽略的是：MySQL 服务端的 require_secure_transport 变量。如果它是 OFF，即使用户设了 REQUIRE SSL，攻击者仍可用普通账号绕过；生产环境应设为 ON，它才是兜底防线。
