允许连接到给定 MySQL 服务器实例的协议集受以下多个因素的影响：

从 MySQL 8.0.28 开始，删除了对 TLSv1 和 TLSv1.1 连接协议的支持。这些协议已从 MySQL 8.0.26 中弃用。有关背景信息，请参阅 IETF 备忘录 Deprecating TLSv1.0 and TLSv1.1。建议使用更安全的 TLSv1.2 和 TLSv1.3 协议建立连接。TLSv1.3 要求 MySQL 服务器和客户端应用程序都使用 OpenSSL 1.1.1 进行编译。

删除了对 TLSv1 和 TLSv1.1 的支持，因为这些协议版本较旧，分别于 1996 年和 2006 年发布。使用的算法薄弱且过时。除非您使用的是非常旧版本的 MySQL 服务器或连接器，否则您不太可能使用 TLSv1.0 或 TLSv1.1 建立连接。MySQL 连接器和客户端默认选择可用的最高 TLS 版本。

在不支持 TLSv1 和 TLSv1.1 连接协议的版本中（从 MySQL 8.0.28 开始），支持 --tls-version指定用于连接 MySQL 服务器的 TLS 协议的选项的客户端（包括 MySQL Shell）无法建立 TLS/SSL 连接协议设置为 TLSv1 或 TLSv1.1。如果客户端尝试使用这些协议进行连接，对于 TCP 连接，连接将失败，并向客户端返回一个错误。对于套接字连接，如果 --ssl-mode设置为 REQUIRED，则连接失败，否则建立连接但禁用 TLS/SSL。

在服务器端，从 MySQL 8.0.28 开始更改了以下设置：

在不推荐使用 TLSv1 和 TLSv1.1 连接协议的版本（MySQL 8.0.26 和 MySQL 8.0.27）中，如果它们包含在tls_versionor admin_tls_version 系统变量的值中，并且如果客户端使用它们成功连接。如果您在运行时设置已弃用的协议并使用ALTER INSTANCE RELOAD TLS语句实现它们，也会返回警告。客户端，包括为连接到源服务器指定 TLS 协议的副本和为分布式恢复连接指定 TLS 协议的组复制组成员，如果它们被配置为允许弃用的 TLS 协议，则不会发出警告。

有关详细信息，请参阅 MySQL 8.0 是否支持 TLS 1.0 和 1.1？

在服务器端， tls_version系统变量的值决定了 MySQL 服务器允许哪些 TLS 协议进行加密连接。该 tls_version值适用于来自客户端的连接、此服务器实例为源的常规源/副本复制连接、组复制组通信连接以及此服务器实例为施主的组复制分布式恢复连接。管理连接接口的配置类似，但使用 admin_tls_version系统变量（请参阅 第 5.1.12.2 节，“管理连接管理”）。此讨论也适用于 admin_tls_version。

该tls_version值是一个或多个以逗号分隔的 TLS 协议版本的列表，不区分大小写。默认情况下，此变量列出用于编译 MySQL 的 SSL 库和 MySQL 服务器版本支持的所有协议。因此，默认设置如表 6.14，“MySQL 服务器 TLS 协议默认设置”所示。

要在运行时确定 的值 tls_version，请使用以下语句：

mysql> SHOW GLOBAL VARIABLES LIKE 'tls_version';
+---------------+-----------------------+
| Variable_name | Value                 |
+---------------+-----------------------+
| tls_version   | TLSv1.2,TLSv1.3       |
+---------------+-----------------------+

要更改 的值 tls_version，请在服务器启动时设置它。例如，要允许使用 TLSv1.2 或 TLSv1.3 协议的连接，但禁止使用不太安全的 TLSv1 和 TLSv1.1 协议的连接，请在服务器my.cnf文件中使用以下行：

[mysqld]
tls_version=TLSv1.2,TLSv1.3

要更加严格并仅允许 TLSv1.3 连接，请tls_version像这样设置：

[mysqld]
tls_version=TLSv1.3

从 MySQL 8.0.16 开始，tls_version可以在运行时更改。请参阅 服务器端运行时配置和监控加密连接。

在客户端，该 --tls-version选项指定客户端程序允许哪些 TLS 协议连接到服务器。选项值的格式与tls_version前面描述的系统变量相同（一个或多个逗号分隔的协议版本的列表）。

对于此服务器实例是副本的源/副本复制连接， SOURCE_TLS_VERSION| 语句（来自 MySQL 8.0.23）或语句（MySQL 8.0.23 之前）MASTER_TLS_VERSION的选项 指定副本允许哪些 TLS 协议连接到源。选项值的格式与前面描述的系统变量的格式相同 。请参阅 第 17.3.1 节，“设置复制以使用加密连接”。 CHANGE REPLICATION SOURCE TOCHANGE MASTER TOtls_version

SOURCE_TLS_VERSION| 可以指定的协议 MASTER_TLS_VERSION依赖于 SSL 库。tls_version此选项独立于服务器值且不受其影响 。例如，充当副本的服务器可以配置 tls_version为 TLSv1.3 以仅允许使用 TLSv1.3 的传入连接，但也可以配置SOURCE_TLS_VERSION| MASTER_TLS_VERSION设置为 TLSv1.2 以仅允许 TLSv1.2 用于到源的传出副本连接。

对于组复制分布式恢复连接，其中此服务器实例是启动分布式恢复的加入成员（即客户端）， group_replication_recovery_tls_version 系统变量指定客户端允许哪些协议。同样，此选项独立于服务器值且不受其影响， tls_version当此服务器实例是捐赠者时适用。组复制服务器通常在其组成员身份期间作为捐赠者和加入成员参与分布式恢复，因此应设置这两个系统变量。请参阅 第 18.6.2 节，“使用安全套接字层 (SSL) 保护组通信连接”。

TLS 协议配置会影响给定连接使用的协议，如 连接 TLS 协议协商中所述。

应选择允许的协议，例如不要在列表中留下 “漏洞”。例如，这些服务器配置值没有漏洞：

tls_version=TLSv1,TLSv1.1,TLSv1.2,TLSv1.3
tls_version=TLSv1.1,TLSv1.2,TLSv1.3
tls_version=TLSv1.2,TLSv1.3
tls_version=TLSv1.3

这些值确实有漏洞，不应使用：

tls_version=TLSv1,TLSv1.2       (TLSv1.1 is missing)
tls_version=TLSv1.1,TLSv1.3     (TLSv1.2 is missing)

对空洞的禁止也适用于其他配置上下文，例如客户端或副本。

除非您打算禁用加密连接，否则允许的协议列表不应为空。如果将 TLS 版本参数设置为空字符串，则无法建立加密连接：

一组默认密码适用于加密连接，可以通过显式配置允许的密码来覆盖它。在连接建立期间，连接的双方必须允许一些共同的密码，否则连接失败。在双方通用的允许密码中，SSL 库选择所提供证书支持的具有最高优先级的密码。

要指定适用于使用 TLS 协议直至 TLSv1.2 的加密连接的一个或多个密码：

对于使用 TLSv1.3 的加密连接，OpenSSL 1.1.1 及更高版本支持以下密码套件，其中前三个默认启用：

TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256
TLS_AES_128_CCM_SHA256
TLS_AES_128_CCM_8_SHA256

要显式配置允许的 TLSv1.3 密码套件，请设置以下参数。在每种情况下，配置值都是零个或多个以冒号分隔的密码套件名称的列表。

给定的密​​码可能仅适用于特定的 TLS 协议，这会影响 TLS 协议协商过程。请参阅 连接 TLS 协议协商。

Ssl_cipher_list要确定给定服务器支持哪些密码，请检查状态变量 的会话值 ：

SHOW SESSION STATUS LIKE 'Ssl_cipher_list';

status 变量列出了可能的Ssl_cipher_listSSL 密码（对于非 SSL 连接为空）。如果 MySQL 支持 TLSv1.3，则该值包括可能的 TLSv1.3 密码套件。

对于使用 TLS.v1.3 的加密连接，MySQL 使用 SSL 库默认密码套件列表。

对于通过 TLSv1.2 使用 TLS 协议的加密连接，MySQL 将以下默认密码列表传递给 SSL 库。

ECDHE-ECDSA-AES128-GCM-SHA256
ECDHE-ECDSA-AES256-GCM-SHA384
ECDHE-RSA-AES128-GCM-SHA256
ECDHE-RSA-AES256-GCM-SHA384
ECDHE-ECDSA-AES128-SHA256
ECDHE-RSA-AES128-SHA256
ECDHE-ECDSA-AES256-SHA384
ECDHE-RSA-AES256-SHA384
DHE-RSA-AES128-GCM-SHA256
DHE-DSS-AES128-GCM-SHA256
DHE-RSA-AES128-SHA256
DHE-DSS-AES128-SHA256
DHE-DSS-AES256-GCM-SHA384
DHE-RSA-AES256-SHA256
DHE-DSS-AES256-SHA256
ECDHE-RSA-AES128-SHA
ECDHE-ECDSA-AES128-SHA
ECDHE-RSA-AES256-SHA
ECDHE-ECDSA-AES256-SHA
DHE-DSS-AES128-SHA
DHE-RSA-AES128-SHA
TLS_DHE_DSS_WITH_AES_256_CBC_SHA
DHE-RSA-AES256-SHA
AES128-GCM-SHA256
DH-DSS-AES128-GCM-SHA256
ECDH-ECDSA-AES128-GCM-SHA256
AES256-GCM-SHA384
DH-DSS-AES256-GCM-SHA384
ECDH-ECDSA-AES256-GCM-SHA384
AES128-SHA256
DH-DSS-AES128-SHA256
ECDH-ECDSA-AES128-SHA256
AES256-SHA256
DH-DSS-AES256-SHA256
ECDH-ECDSA-AES256-SHA384
AES128-SHA
DH-DSS-AES128-SHA
ECDH-ECDSA-AES128-SHA
AES256-SHA
DH-DSS-AES256-SHA
ECDH-ECDSA-AES256-SHA
DHE-RSA-AES256-GCM-SHA384
DH-RSA-AES128-GCM-SHA256
ECDH-RSA-AES128-GCM-SHA256
DH-RSA-AES256-GCM-SHA384
ECDH-RSA-AES256-GCM-SHA384
DH-RSA-AES128-SHA256
ECDH-RSA-AES128-SHA256
DH-RSA-AES256-SHA256
ECDH-RSA-AES256-SHA384
ECDHE-RSA-AES128-SHA
ECDHE-ECDSA-AES128-SHA
ECDHE-RSA-AES256-SHA
ECDHE-ECDSA-AES256-SHA
DHE-DSS-AES128-SHA
DHE-RSA-AES128-SHA
TLS_DHE_DSS_WITH_AES_256_CBC_SHA
DHE-RSA-AES256-SHA
AES128-SHA
DH-DSS-AES128-SHA
ECDH-ECDSA-AES128-SHA
AES256-SHA
DH-DSS-AES256-SHA
ECDH-ECDSA-AES256-SHA
DH-RSA-AES128-SHA
ECDH-RSA-AES128-SHA
DH-RSA-AES256-SHA
ECDH-RSA-AES256-SHA
DES-CBC3-SHA

这些密码限制已到位：

如果服务器启动时将 ssl_cert系统变量设置为使用上述任何受限密码或密码类别的证书，则服务器启动时会禁用对加密连接的支持。

MySQL 中的连接尝试协商使用双方可用的最高 TLS 协议版本，双方都可以使用协议兼容的加密密码。协商过程取决于用于编译服务器和客户端的 SSL 库、TLS 协议和加密密码配置以及使用的密钥大小等因素：

如果服务器和客户端没有共同的允许协议和共同的协议兼容密码，则服务器终止连接请求。例子：

MySQL 允许指定要支持的协议列表。该列表直接向下传递到底层 SSL 库，并最终由该库决定它从提供的列表中实际启用了哪些协议。请参阅 MySQL 源代码和 OpenSSL SSL_CTX_new() 文档，了解有关 SSL 库如何处理此问题的信息。

要确定当前客户端会话使用哪种加密 TLS 协议和密码，请检查 Ssl_version和 Ssl_cipher状态变量的会话值：

mysql> SELECT * FROM performance_schema.session_status
       WHERE VARIABLE_NAME IN ('Ssl_version','Ssl_cipher');
+---------------+---------------------------+
| VARIABLE_NAME | VARIABLE_VALUE            |
+---------------+---------------------------+
| Ssl_cipher    | DHE-RSA-AES128-GCM-SHA256 |
| Ssl_version   | TLSv1.2                   |
+---------------+---------------------------+

如果连接未加密，则两个变量都为空值。