前言：为什么要给MySQL披上“加密外衣”

在企业级应用中，数据库往往是最核心的资产。一旦明文传输的查询语句、密码或敏感业务数据被窃听， 可不是吗！ 后果不堪设想。SSL正是为了解决「在不可信网络上平安通信」而生的技术。

盘它... 想象一下：你在咖啡馆里用笔记本登录公司内部系统， Wi‑Fi 并不平安，却仍然需要查询订单信息。这时如果 MySQL 已经开启了 SSL，加密隧道就像一道隐形的防护墙，把黑客挡在门外。

一、 准备工作：确认版本与依赖

1. 检查 MySQL 是否支持 SSL

mysql -u root -p -e "SHOW VARIABLES LIKE 'have_ssl';"

如果返回值是 YES说明服务器已经内置了 SSL 支持；若是 DISABLED 或 NO则需要升级或重新编译。

2. 安装 OpenSSL

sudo apt update
sudo apt install openssl -y

二、 打造自己的根证书

CA 相当于信任链的根基，它签发服务器和客户端证书，使得双方都能相互验证身份，心情复杂。。

# 生成自签名根证书和私钥
sudo openssl req -x509 -newkey rsa:4096 -days 365 -nodes \
    -keyout /etc/mysql/ca-key.pem \
    -out /etc/mysql/ca-cert.pem \
    -subj "/C=CN/ST=Beijing/L=Beijing/O=MyCompany/OU=IT/CN=MyCompany CA"
chmod 600 /etc/mysql/ca-key.pem /etc/mysql/ca-cert.pem

三、 为 MySQL 服务端生成证书和私钥

下面这一步会让你的 MySQL 服务器拥有一把「数字钥匙」，只有拥有对应证书的客户端才能解锁，太治愈了。。

# 创建服务器私钥和 CSR
sudo openssl req -newkey rsa:4096 -nodes \
    -keyout /etc/mysql/server-key.pem \
    -out /etc/mysql/server-csr.pem \
    -subj "/C=CN/ST=Beijing/L=Beijing/O=MyCompany/OU=DB/CN=mysql.mycompany.com"
# 使用根证书对 CSR 签名， 得到正式的服务器证书
sudo openssl x509 -req -in /etc/mysql/server-csr.pem \
    -CA /etc/mysql/ca-cert.pem -CAkey /etc/mysql/ca-key.pem \
    -CAcreateserial -out /etc/mysql/server-cert.pem -days 365
chmod 600 /etc/mysql/server-key.pem /etc/mysql/server-cert.pem

四、在 MySQL 配置文件中声明 SSL 路径

太扎心了。 不同发行版的配置文件位置略有差异，这里以 Debian 系列为例：

# 编辑 /etc/mysql/my.cnf 或者单独的 mysqld.cnf
ssl-ca=/etc/mysql/ca-cert.pem
ssl-cert=/etc/mysql/server-cert.pem
ssl-key=/etc/mysql/server-key.pem
# 可选：强制要求所有客户端必须使用 SSL
require_secure_transport = ON

如果你是在 Windows 环境，只需把上述 .pem 文件放到任意目录，然后在 my.ini 中添加同样的三行路径即可，何必呢？。

五、 重启 MySQL 并验证配置是否生效

# Linux 系统下重启服务
sudo systemctl restart mysql
# 检查变量
mysql -u root -p -e "SHOW VARIABLES LIKE '%ssl%';"

看到如上表所示的信息，就意味着 MySQL 已经成功打开了加密通道。

六、 让客户端也加入“加密派对”——配置 SSL 客户端连接

a) 使用命令行工具

# 假设我们已经为客户端生成了专属证书
openssl req -newkey rsa:4096 -nodes \
    -keyout client-key.pem \
    -out client-csr.pem \
    -subj "/C=CN/ST=Beijing/L=Beijing/O=MyCompany/OU=App/CN=app-client"
openssl x509 -req -in client-csr.pem \
    -CA ca-cert.pem -CAkey ca-key.pem \
    -CAcreateserial -out client-cert.pem -days 365
# 使用 mysql 客户端连接
mysql --host=mysql.mycompany.com --user=dbuser --password \
      --ssl-ca=/path/to/ca-cert.pem \
      --ssl-cert=/path/to/client-cert.pem \
      --ssl-key=/path/to/client-key.pem

b) 在 PHP/Python/JDBC 中开启 SSL

• PDO： $pdo = new PDO('mysql:host=mysql.mycompany.com;dbname=test;charset=utf8','dbuser','pwd',);
• Pymysql： conn = pymysql.connect(host='mysql.mycompany.com', user='dbuser', password='pwd', ssl={'ca':'/path/to/ca-cert.pem', 'cert':'/path/to/client-cert.pem', 'key':'/path/to/client-key.pem'})
• JDBC：

七、常见问题排查表格

八、 收官感言：让平安成为习惯，而非负担

从一开始的「我真的需要 SSL 吗？」到现在看到完整的一键部署流程， 你可能已经体会到：平安并不是遥不可及的高墙，而是一段可以循序渐进实现的旅程。 本质上... 只要把根证书、服务器证书以及客户端凭据做好管理，每一次查询都像走在光纤隧道里既快又放心。

温馨提醒：

• 💡 定期更新 CA 与服务器证书，防止私钥泄漏导致不可挽回的数据泄露。
• 💰 将私钥文件权限锁死到仅 root 可读，以免被恶意脚本抓取。
• 🏆 若业务对延迟极度敏感，可评估是否开启压缩或切换至更轻量级的 TLS1.3。
• 🍽 再说说 请记得给你的同事们也普及一下「为什么要用 SSL」——只有大家都认同并施行，系统才能真正稳固如山。
\

写完这篇文章， 我正准备冲一杯浓郁的咖啡来庆祝——毕竟把数据库装上保险箱，总比喝着苦涩咖啡却心慌要好太多了！希望你的项目也能所以呢少一点焦虑，多一点安心。

---

© 2026 技术小站 | 保留所有权利 | 本文仅供学习交流，如有侵权请联系删除。