3.6.1 支持加密连接

本节介绍 C 应用程序如何使用 C API 功能进行加密连接。默认情况下,如果服务器支持加密连接,MySQL 程序会尝试使用加密连接,如果无法建立加密连接,则回退到未加密连接(请参阅 配置 MySQL 以使用加密连接)。对于需要控制加密连接建立方式的默认行为之外的应用程序,C API 提供了以下功能:

加密连接选项

mysql_options()提供以下选项来控制加密连接的使用。有关选项的详细信息,请参阅 第 5.4.50 节,“mysql_options()”

  • MYSQL_OPT_SSL_CA:证书颁发机构 (CA) 证书文件的路径名。如果使用此选项,则必须指定服务器使用的相同证书。

  • MYSQL_OPT_SSL_CAPATH:包含受信任的 SSL CA 证书文件的目录的路径名。

  • MYSQL_OPT_SSL_CERT:客户端公钥证书文件的路径名。

  • MYSQL_OPT_SSL_CIPHER:SSL 加密允许的密码列表。

  • MYSQL_OPT_SSL_CRL:包含证书吊销列表的文件的路径名。

  • MYSQL_OPT_SSL_CRLPATH:包含证书吊销列表文件的目录的路径名。

  • MYSQL_OPT_SSL_KEY: 客户端私钥文件的路径名。

  • MYSQL_OPT_SSL_MODE:连接安全状态。

  • MYSQL_OPT_SSL_VERIFY_SERVER_CERT:是否对服务器证书Common Name值进行主机名身份验证。

  • MYSQL_OPT_TLS_VERSION:客户端允许的加密协议。

mysql_ssl_set()可以用作一个方便的例程,它等效于一组 mysql_options()指定证书和密钥文件、加密密码等的调用。参见第 5.4.75 节,“mysql_ssl_set()”

强制加密连接

mysql_options()SSL 证书和密钥文件等信息的选项用于建立加密连接(如果此类连接可用),但不强制要求对获得的连接进行加密。要要求加密连接,请使用以下技术:

  1. 必要时调用mysql_options()提供适当的 SSL 参数(证书和密钥文件、加密密码等)。

  2. 调用mysql_options()以传递MYSQL_OPT_SSL_MODE值为SSL_MODE_REQUIRED或更严格的选项值之一的选项。

  3. 调用mysql_real_connect() 以连接到服务器。如果无法获得加密连接,则调用失败;错误退出。

提高加密连接的安全性

为了相对于默认加密提供的额外安全性,客户端可以提供与服务器使用的证书相匹配的 CA 证书并启用主机名身份验证。通过这种方式,服务器和客户端信任同一个 CA 证书,并且客户端验证它连接到的主机是预期的主机:

  • 要指定 CA 证书,请调用 mysql_options()以传递MYSQL_OPT_SSL_CA(or MYSQL_OPT_SSL_CAPATH) 选项,然后调用 mysql_options()以传递MYSQL_OPT_SSL_MODE值为 的选项SSL_MODE_VERIFY_CA

  • 要同时启用主机名身份验证,请调用 mysql_options()以传递MYSQL_OPT_SSL_MODE值为SSL_MODE_VERIFY_IDENTITY 而不是的选项SSL_MODE_VERIFY_CA

笔记

主机名身份验证 SSL_MODE_VERIFY_IDENTITY不适用于服务器自动创建的自签名证书,或使用 mysql_ssl_rsa_setup手动创建(请参阅 使用 MySQL 创建 SSL 和 RSA 证书和密钥)。此类自签名证书不包含服务器名称作为 Common Name 值。

主机名身份验证也不适用于使用通配符指定通用名称的证书,因为该名称会逐字与服务器名称进行比较。