mysql8.0 使用 x509设置加密连接

封面图 • 2025-10-22 • MySQL

在 MySQL 8.0 中，使用 **X.509 证书** 设置加密连接是一种增强数据库安全性的方法。通过 X.509 证书认证，可以实现客户端与服务器之间的双向 SSL/TLS 加密通信，并且可以基于证书进行身份验证。

以下是设置 MySQL 8.0 使用 X.509 证书进行加密连接的步骤：

---

## ✅ 一、生成 X.509 证书（自签名）

你可以使用 `openssl` 工具生成自签名证书。以下是一个简单的流程：

### 1. 生成 CA 证书（用于签发服务端和客户端证书）

```bash
openssl genrsa -out ca.key 2048
openssl req -new -x509 -days 365 -key ca.key -out ca.crt
```

### 2. 生成服务器证书

```bash
openssl genrsa -out server.key 2048
openssl req -new -key server.key -out server.csr
openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt
```

### 3. 生成客户端证书

```bash
openssl genrsa -out client.key 2048
openssl req -new -key client.key -out client.csr
openssl x509 -req -days 365 -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt
```

> 注意：确保在生成 CSR 时填写正确的 `Common Name (CN)`，例如：
> - 服务器证书的 CN 应该是服务器的主机名或 IP 地址。
> - 客户端证书的 CN 可以是用户名或其他标识符。

---

## ✅ 二、配置 MySQL 8.0 服务器启用 SSL/X.509

### 1. 修改 MySQL 配置文件（通常是 `/etc/my.cnf` 或 `/etc/mysql/my.cnf`）

在 `[mysqld]` 段中添加以下内容：

```ini
[mysqld]
ssl-ca=/path/to/ca.crt
ssl-cert=/path/to/server.crt
ssl-key=/path/to/server.key
require_secure_transport = ON
```

> - `ssl-ca`: CA 证书路径
> - `ssl-cert`: 服务器证书路径
> - `ssl-key`: 服务器私钥路径
> - `require_secure_transport`: 强制使用 SSL 连接

### 2. 重启 MySQL 服务

```bash
sudo systemctl restart mysql
```

---

## ✅ 三、验证 SSL 是否启用

```sql
SHOW VARIABLES LIKE 'have_ssl';
```

如果返回 `YES`，说明 SSL 已启用。

```sql
SHOW STATUS LIKE 'Ssl_cipher';
```

---

## ✅ 四、配置客户端使用 X.509 证书连接

### 1. 创建用户并授权使用 SSL

```sql
CREATE USER 'client_user'@'%' IDENTIFIED BY 'password';
GRANT ALL PRIVILEGES ON *.* TO 'client_user'@'%' REQUIRE SSL;
FLUSH PRIVILEGES;
```

> 如果你希望使用 X.509 证书进行身份验证，可以使用如下方式：

```sql
CREATE USER 'client_user'@'%' IDENTIFIED BY 'password' REQUIRE X509;
```

> 这将要求客户端必须提供有效的 X.509 证书才能连接。

### 2. 客户端连接命令（使用证书）

```bash
mysql -u client_user -p --ssl-ca=/path/to/ca.crt --ssl-cert=/path/to/client.crt --ssl-key=/path/to/client.key
```

> 也可以在 `my.cnf` 中配置：

```ini
[client]
ssl-ca=/path/to/ca.crt
ssl-cert=/path/to/client.crt
ssl-key=/path/to/client.key
```

---

## ✅ 五、常见问题排查

| 问题 | 解决方案 |
|------|----------|
| 连接失败，提示 “SSL connection error” | 检查证书路径是否正确，权限是否为 `600` |
| 客户端无法连接 | 确保 `require_secure_transport = ON` 且客户端支持 SSL |
| 证书过期 | 使用 `openssl x509 -noout -enddate -in server.crt` 查看有效期 |

---

## ✅ 六、总结

MySQL 8.0 支持使用 X.509 证书进行加密连接，通过以下步骤可以实现：

1. 生成 CA、服务端和客户端证书
2. 配置 MySQL 服务器启用 SSL 和证书
3. 配置客户端使用证书连接
4. 验证连接状态

如需更高级的配置（如证书自动更新、证书吊销等），可考虑使用 PKI 系统（如 OpenSCA）。

---

如果你需要我帮你生成证书脚本或者写一个完整的配置示例，请告诉我你的具体环境（如 Linux 发行版、证书存放路径等）。