问题：ThinkPHP3.2配置MySQL SSL连接失败如何解决？

Question

在使用 ThinkPHP3.2 配置 MySQL 的 SSL 连接时，常遇到连接失败的问题。主要原因可能包括：SSL 证书路径配置错误、MySQL 服务未启用 SSL 支持、或 PDO/MySQL 扩展不兼容等。ThinkPHP3.2 默认使用的数据库连接方式较为基础，若未正确设置 `sslVerify`、`sslCA`、`sslCert`、`sslKey` 等参数，将导致 SSL 握手失败。此外，部分服务器环境缺少必要的 SSL 库依赖，也会阻碍安全连接的建立。解决该问题需从检查 MySQL 服务 SSL 配置入手，确认证书有效性，并在 ThinkPHP3.2 的数据库配置文件中合理设置连接参数，必要时升级 PHP 环境与相关扩展。

Answer 1

一、问题背景与连接失败现象

在使用 ThinkPHP3.2 配置 MySQL 的 SSL 连接时，常常会遇到数据库连接失败的问题。尤其是在云服务或高安全性要求的生产环境中，SSL 是强制启用的配置项之一。此时若未正确设置相关参数，将导致 PDO 在建立连接时出现 SSL 握手失败。

二、常见原因分析

• SSL 证书路径配置错误：例如 sslCA、sslCert、sslKey 文件路径不正确，或权限不足无法读取。
• MySQL 服务未启用 SSL 支持：服务器端未开启 SSL 功能，客户端尝试加密连接将被拒绝。
• PDO/MySQL 扩展不兼容：部分旧版本 PHP 或扩展库可能不支持完整的 SSL/TLS 协议栈。
• ThinkPHP3.2 默认连接方式限制：框架内置的数据库连接机制较为基础，缺乏对 SSL 参数的灵活支持。
• 服务器环境依赖缺失：如 OpenSSL 库未安装或版本过低，影响 SSL 握手过程。

三、诊断步骤与排查流程

为定位具体问题，可按如下流程进行：

1. 检查 MySQL 是否启用了 SSL 支持。
2. 验证 SSL 证书文件是否存在且可读。
3. 确认 PHP 是否加载了 OpenSSL 及 PDO_MySQL 扩展。
4. 查看 ThinkPHP3.2 数据库配置是否包含必要的 SSL 参数。
5. 通过命令行测试 MySQL SSL 连接，排除应用层干扰。

四、MySQL 服务端 SSL 配置验证

登录 MySQL 后执行以下 SQL 命令：

SHOW VARIABLES LIKE 'have_ssl';
SHOW VARIABLES LIKE 'ssl%';

如果输出中 have_ssl 的值为 YES，表示已启用 SSL；否则需修改 MySQL 配置文件（如 my.cnf）并重启服务。

五、ThinkPHP3.2 数据库配置调整

在 ThinkPHP3.2 中，数据库配置通常位于 Conf/config.php 文件中。需要添加如下 SSL 相关配置项：

配置项	说明
DB_SSL_VERIFY	是否验证 CA 证书，布尔值，true 表示严格验证。
DB_SSL_CA	CA 证书路径，用于验证服务器身份。
DB_SSL_CERT	客户端证书路径，用于双向认证。
DB_SSL_KEY	客户端私钥路径，配合客户端证书使用。

示例配置代码如下：

'DB_TYPE' => 'mysql',
'DB_HOST' => 'your.mysql.host',
'DB_NAME' => 'dbname',
'DB_USER' => 'user',
'DB_PWD' => 'password',
'DB_PORT' => 3306,
'DB_PREFIX' => '',
'DB_PARAMS' => array(
    \PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT => true,
    \PDO::MYSQL_ATTR_SSL_CA => '/path/to/ca-cert.pem',
    \PDO::MYSQL_ATTR_SSL_CERT => '/path/to/client-cert.pem',
    \PDO::MYSQL_ATTR_SSL_KEY => '/path/to/client-key.pem'
)

六、PHP 环境与扩展检查

确保 PHP 安装了以下扩展：

• OpenSSL
• PDO_MySQL

可通过以下命令查看：

php -m | grep -E 'openssl|pdo_mysql'

若缺少相应模块，请安装或启用它们，并确保 OpenSSL 版本不低于 1.1.1。

七、连接测试与日志调试

建议先使用命令行测试 MySQL SSL 连接，以隔离应用层问题：

mysql -h your.mysql.host -u user -p --ssl-ca=/path/to/ca-cert.pem \
--ssl-cert=/path/to/client-cert.pem --ssl-key=/path/to/client-key.pem

若成功，则说明服务端和证书无误，问题出在 ThinkPHP3.2 的配置上。

八、流程图展示完整排查逻辑

graph TD
            A[开始] --> B{MySQL是否启用SSL?}
            B -- 否 --> C[配置MySQL启用SSL]
            B -- 是 --> D{证书路径是否正确?}
            D -- 否 --> E[修正证书路径]
            D -- 是 --> F{PHP是否支持OpenSSL?}
            F -- 否 --> G[安装或升级PHP扩展]
            F -- 是 --> H{ThinkPHP配置是否包含SSL参数?}
            H -- 否 --> I[补充DB_PARAMS配置]
            H -- 是 --> J[测试连接]
            J --> K{连接是否成功?}
            K -- 否 --> L[查看错误日志]
            K -- 是 --> M[完成]