配置 MySQL SSL 首先确认支持状态，SHOW VARIABLES LIKE 'have_ssl' 返回 YES 表示可用；默认安装会自动生成证书文件如 ca.pem、server-cert.pem 等；生产环境应使用 OpenSSL 手动创建 CA 与服务器证书：生成 CA 私钥和根证书后，创建服务器私钥及请求并签发证书；将 ca.pem、server-cert.pem、server-key.pem 放入指定目录（如 /etc/mysql/ssl/），设置权限为 600；在 my.cnf 中配置 ssl-ca、ssl-cert 和 ssl-key 指向对应文件；重启服务后可通过 SHOW VARIABLES 命令验证路径是否生效；为强制安全连接，可创建或修改用户要求 REQUIRE SSL，例如 CREATE USER 'secure_user'@'%' IDENTIFIED BY 'password' REQUIRE SSL；客户端连接需添加 --ssl-mode=REQUIRED 参数；通过 SHOW STATUS LIKE 'Ssl_cipher' 可确认当前会话是否加密；正确设置文件权限与路径是关键，确保 mysqld 有读取权限；建议定期更新证书以增强安全性。
在安装 MySQL 时配置 SSL 安全连接，可以有效保障数据库与客户端之间的通信安全。MySQL 原生支持 SSL/TLS 加密，合理配置后能防止数据在传输过程中被窃听或篡改。以下是如何在安装和初始化阶段配置 SSL 的实用步骤。
启用 MySQL 自带的 SSL 支持
MySQL 在 5.7 及以上版本默认编译支持 SSL，并且在启动时会自动生成 SSL 证书和密钥（如果数据目录中没有相关文件）。
- 安装完成后，MySQL 通常会在数据目录（如 /var/lib/mysql）下生成以 ca.pem、server-cert.pem、server-key.pem 等命名的证书文件。
- 可通过命令 SHOW VARIABLES LIKE 'have_ssl'; 查看是否支持 SSL。若返回值为 YES，说明 SSL 已启用。
- 使用 SHOW VARIABLES LIKE 'ssl_ca';、ssl_cert、ssl_key 可查看当前 SSL 文件路径。
手动创建和配置自定义 SSL 证书（推荐用于生产环境）
虽然 MySQL 能自动生成证书，但出于安全考虑，建议使用 OpenSSL 手动创建自己的 CA 和服务器/客户端证书。
- 使用 OpenSSL 创建 CA 私钥和根证书：
openssl genrsa 2048 > ca-key.pem
openssl req -new -x509 -nodes -days 3650 -key ca-key.pem -out ca.pem - 生成服务器私钥和证书请求：
openssl req -newkey rsa:2048 -days 365 -nodes -keyout server-key.pem -out server-req.pem
将请求转换为 PKCS#8 格式：
openssl rsa -in server-key.pem -out server-key.pem
签发服务器证书：
openssl x509 -req -in server-req.pem -days 365 -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem - 将生成的 ca.pem、server-cert.pem、server-key.pem 放入 MySQL 配置指定的目录（如 /etc/mysql/ssl/）并设置权限为 600。
- 在 my.cnf 中配置：
[mysqld]
ssl-ca = /etc/mysql/ssl/ca.pem
ssl-cert = /etc/mysql/ssl/server-cert.pem
ssl-key = /etc/mysql/ssl/server-key.pem
强制客户端使用 SSL 连接
为了确保连接安全，可对特定用户要求必须通过 SSL 连接。
- 创建用户时指定 REQUIRE SSL：
CREATE USER 'secure_user'@'%' IDENTIFIED BY 'password' REQUIRE SSL; - 已存在的用户可通过以下语句修改：
ALTER USER 'existing_user'@'%' REQUIRE SSL; - 客户端连接时加上 --ssl-mode=REQUIRED 参数：
mysql -u secure_user -h your_host -p --ssl-mode=REQUIRED - 可通过 SHOW STATUS LIKE 'Ssl_cipher'; 验证当前连接是否使用了加密。
基本上就这些。只要证书正确配置，MySQL 会在客户端支持的情况下自动启用 SSL 加密。生产环境中建议使用自签名 CA 或企业级证书，并定期更新密钥。不复杂但容易忽略的是文件权限和路径配置，务必确保 mysqld 能读取证书文件。
