启用SSL/TLS加密可确保MySQL客户端与服务器间的数据传输安全，防止窃听、篡改和中间人攻击，并满足GDPR、PCI DSS等合规要求。核心步骤包括：使用CA签发服务器和客户端证书，配置MySQL服务器的ssl-ca、ssl-cert、ssl-key参数并重启服务，客户端连接时指定CA证书、客户端证书和私钥以建立加密连接。需注意证书的Common Name与主机名匹配、私钥文件权限安全及证书有效期管理。可通过命令行、Python、Java等客户端实现加密连接，其中Python需设置ssl_verify_identity=True，Java需配置TrustStore和KeyStore。尽管SSL/TLS会带来一定CPU开销和连接延迟，但通过硬件优化、连接池和高效加密算法可有效平衡性能与安全，建议在绝大多数场景下优先启用以保障数据安全。
使用SSL/TLS加密MySQL客户端与服务器之间的连接，是确保数据在传输过程中不被窃听、篡改的关键安全措施。它通过建立加密通道，验证通信双方的身份，从而有效抵御中间人攻击，保护敏感数据。这不仅是技术上的最佳实践，更是满足合规性要求（如GDPR、PCI DSS）的必要条件。
要为MySQL客户端与服务器之间的连接启用SSL/TLS加密，核心在于生成、配置并正确使用证书。这通常涉及以下几个关键步骤：
首先，你需要一个可靠的证书颁发机构（CA）来签发服务器和客户端证书。在生产环境中，这通常是专业的CA服务。但在测试或内部环境中，你可以自建CA。自建CA的流程通常是这样的：生成CA私钥和CA证书。接着，用CA证书签发服务器证书和客户端证书，每个证书都配对一个私钥。服务器证书和私钥用于MySQL服务器，客户端证书和私钥用于连接数据库的应用程序或工具。
证书准备就绪后，下一步是配置MySQL服务器。编辑MySQL的配置文件（通常是
my.cnf
my.ini
[mysqld] ssl-ca=/path/to/ca.pem ssl-cert=/path/to/server-cert.pem ssl-key=/path/to/server-key.pem # 可选：强制所有连接都使用SSL/TLS，如果客户端不支持，则连接失败 # require_secure_transport=ON
配置完成后，重启MySQL服务，让这些更改生效。
服务器端搞定，接下来就是客户端了。客户端连接时，需要指定CA证书、客户端证书和客户端私钥。例如，在命令行中：
mysql -h your_mysql_host -u your_user -p --ssl-ca=/path/to/ca.pem --ssl-cert=/path/to/client-cert.pem --ssl-key=/path/to/client-key.pem
如果是编程语言，比如Python的
mysql.connector
import mysql.connector mydb = mysql.connector.connect( host="your_mysql_host", user="your_user", password="your_password", ssl_ca="/path/to/ca.pem", ssl_cert="/path/to/client-cert.pem", ssl_key="/path/to/client-key.pem", # 强烈建议开启主机名验证，防止中间人攻击 ssl_verify_identity=True )
连接成功后，你可以在MySQL客户端中运行
\s
SSL
Cipher in use
SHOW STATUS LIKE 'Ssl_cipher';
在我看来，现代网络环境中，任何未加密的数据传输都是一个潜在的巨大风险。MySQL连接需要SSL/TLS加密，最直接的原因就是保护数据在“空中”传输时的安全。想想看，你的应用程序和数据库服务器之间，数据可能要经过路由器、交换机，甚至公共网络。如果这些数据是明文传输的，那么任何一个能够监听网络流量的人，比如恶意攻击者，都可以轻易地截获并读取你的敏感信息，比如用户密码、个人身份信息（PII）、财务数据，甚至是商业机密。这简直就是把金库的钥匙直接扔在马路上。
SSL/TLS加密能够有效解决几个核心安全痛点：
说实话，忽略SSL/TLS加密，就等于给你的数据安全留了一个巨大的后门。在数据泄露事件频发的今天，这简直是不可接受的。
为MySQL生成和配置SSL/TLS证书，这事儿虽然有点繁琐，但绝对是值得的。我个人觉得，理解这个过程有助于你更好地管理证书生命周期。
关键步骤：
创建CA私钥和CA证书： 这是整个证书链的信任根。
# 生成CA私钥 openssl genrsa -out ca-key.pem 2048 # 生成CA证书（自签名） openssl req -new -x509 -nodes -days 3650 -key ca-key.pem -out ca.pem -subj "/CN=MyRootCA"
-days 3650
/CN=MyRootCA
创建服务器私钥和证书请求（CSR）：
# 生成服务器私钥 openssl genrsa -out server-key.pem 2048 # 生成服务器证书请求 openssl req -new -key server-key.pem -out server-req.csr -subj "/CN=your_mysql_host_or_ip"
这里的
/CN
使用CA证书签发服务器证书：
openssl x509 -req -in server-req.csr -days 3650 -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem
这样就得到了
server-cert.pem
创建客户端私钥和证书请求：
# 生成客户端私钥 openssl genrsa -out client-key.pem 2048 # 生成客户端证书请求 openssl req -new -key client-key.pem -out client-req.csr -subj "/CN=your_client_user"
客户端的
/CN
使用CA证书签发客户端证书：
openssl x509 -req -in client-req.csr -days 3650 -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out client-cert.pem
这样就得到了
client-cert.pem
注意事项：
ca-key.pem
server-key.pem
client-key.pem
days
my.cnf
require_secure_transport=ON
REQUIRE SSL
REQUIRE X509
CREATE USER 'ssluser'@'%' IDENTIFIED BY 'password' REQUIRE SSL; # 或者要求特定客户端证书 CREATE USER 'x509user'@'%' IDENTIFIED BY 'password' REQUIRE X509 SUBJECT '/CN=your_client_user' ISSUER '/CN=MyRootCA';
这提供了更细粒度的控制。
整个过程下来，你会得到
ca.pem
server-key.pem
server-cert.pem
client-key.pem
client-cert.pem
搞定了证书和服务器配置，客户端连接就是最后一步了。不同客户端工具和编程语言，虽然参数名可能不一样，但核心思路都是传递CA证书、客户端证书和私钥给连接器。
1. MySQL命令行客户端 (mysql
mysql -h your_mysql_host -u your_user -p \ --ssl-ca=/path/to/ca.pem \ --ssl-cert=/path/to/client-cert.pem \ --ssl-key=/path/to/client-key.pem
如果你只想验证服务器身份（不需要客户端证书），可以只提供
--ssl-ca
2. Python (使用 mysql.connector
PyMySQL
mysql.connector
import mysql.connector
try:
mydb = mysql.connector.connect(
host="your_mysql_host",
user="your_user",
password="your_password",
database="your_database",
ssl_ca="/path/to/ca.pem",
ssl_cert="/path/to/client-cert.pem",
ssl_key="/path/to/client-key.pem",
# 强烈建议开启，这会验证服务器证书的CN是否与你连接的主机名匹配
ssl_verify_identity=True
)
print("MySQL connection established successfully with SSL/TLS.")
cursor = mydb.cursor()
cursor.execute("SELECT USER(), CURRENT_USER(), Ssl_cipher FROM INFORMATION_SCHEMA.SESSION_STATUS WHERE VARIABLE_NAME = 'Ssl_cipher';")
result = cursor.fetchone()
print(f"Connected as: {result[0]}, Current User: {result[1]}, SSL Cipher: {result[2]}")
except mysql.connector.Error as err:
print(f"Error: {err}")
finally:
if 'mydb' in locals() and mydb.is_connected():
mydb.close()ssl_verify_identity=True
3. Java (使用 JDBC 驱动): Java应用程序通常通过JDBC驱动连接MySQL。连接字符串的配置会稍微复杂一些，因为它涉及到Java KeyStore和TrustStore的概念。
首先，你需要将CA证书、客户端证书和私钥导入到Java的KeyStore和TrustStore中。
导入步骤（示例，可能需要根据实际情况调整）：
# 导入CA证书到TrustStore keytool -import -alias MySQLCACert -file ca.pem -keystore client_truststore.jks -storepass your_truststore_password -noprompt # 导入客户端证书和私钥到KeyStore # 先将客户端证书和私钥合并为PKCS#12格式 openssl pkcs12 -export -in client-cert.pem -inkey client-key.pem -name "mysqlclient" -out client_keystore.p12 -passout pass:your_keystore_password # 然后导入到JKS keytool -importkeystore -srckeystore client_keystore.p12 -srcstoretype PKCS12 -destkeystore client_keystore.jks -deststoretype JKS -srcstorepass your_keystore_password -deststorepass your_keystore_password -noprompt
然后，在Java代码中配置JDBC连接字符串和系统属性：
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.Statement;
public class MySQLSSLClient {
public static void main(String[] args) {
// 设置TrustStore和KeyStore路径及密码
System.setProperty("javax.net.ssl.trustStore", "/path/to/client_truststore.jks");
System.setProperty("javax.net.ssl.trustStorePassword", "your_truststore_password");
System.setProperty("javax.net.ssl.keyStore", "/path/to/client_keystore.jks");
System.setProperty("javax.net.ssl.keyStorePassword", "your_keystore_password");
String url = "jdbc:mysql://your_mysql_host:3306/your_database?" +
"user=your_user&password=your_password&" +
"useSSL=true&requireSSL=true&" +
"verifyServerCertificate=true"; // 强烈建议开启服务器证书验证
try (Connection conn = DriverManager.getConnection(url);
Statement stmt = conn.createStatement()) {
System.out.println("MySQL connection established successfully with SSL/TLS.");
ResultSet rs = stmt.executeQuery("SELECT USER(), CURRENT_USER(), Ssl_cipher FROM INFORMATION_SCHEMA.SESSION_STATUS WHERE VARIABLE_NAME = 'Ssl_cipher';");
if (rs.next()) {
System.out.println("Connected as: " + rs.getString(1) +
", Current User: " + rs.getString(2) +
", SSL Cipher: " + rs.getString(3));
}
} catch (Exception e) {
e.printStackTrace();
}
}
}useSSL=true
requireSSL=true
verifyServerCertificate=true
ssl_verify_identity=True
在任何客户端配置中，如果你只想加密数据而不进行身份验证（即只提供CA证书，不提供客户端证书和私钥），那么连接仍然是加密的，但服务器无法验证客户端身份。这在某些场景下可能可以接受，但双向认证（即客户端和服务器都互相验证身份）提供了最高级别的安全性。
任何加密操作，理论上都会带来一定的性能开销，SSL/TLS加密MySQL连接也不例外。在我看来，这是一个安全与性能的经典权衡问题，但大多数时候，为了安全，这点性能牺牲是完全值得的。
性能影响主要体现在以下几个方面：
如何平衡安全与性能？
require_secure_transport
require_secure_transport=ON
在我看来，对于绝大多数应用场景，SSL/TLS加密带来的性能开销是可以接受的，而且随着硬件和软件的不断发展，这个开销也在逐渐减小。数据泄露的潜在损失，无论是经济上的还是声誉上的，都远远超过了那点因加密而增加的CPU周期。所以，除非你有非常极端的高性能需求，并且已经通过严谨的测试证明SSL/TLS是主要瓶颈，否则，安全优先，启用加密总是明智的选择。
以上就是使用SSL/TLS加密MySQL客户端与服务器之间的连接的详细内容，更多请关注php中文网其它相关文章！
每个人都需要一台速度更快、更稳定的 PC。随着时间的推移，垃圾文件、旧注册表数据和不必要的后台进程会占用资源并降低性能。幸运的是，许多工具可以让 Windows 保持平稳运行。
广告
收藏
收藏
收藏
Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号
499
