在服务器端，该--ssl 选项指定服务器允许但不需要加密连接。默认情况下启用此选项，因此无需明确指定。

要要求客户端使用加密连接进行连接，请启用 require_secure_transport系统变量。请参阅将加密连接配置为强制性的。

服务器端的这些系统变量指定服务器在允许客户端建立加密连接时使用的证书和密钥文件：

例如，要为服务器启用加密连接，请使用my.cnf 文件中的这些行启动它，并根据需要更改文件名：

[mysqld]
ssl_ca=ca.pem
ssl_cert=server-cert.pem
ssl_key=server-key.pem

要另外指定客户端需要使用加密连接，请启用 require_secure_transport系统变量：

[mysqld]
ssl_ca=ca.pem
ssl_cert=server-cert.pem
ssl_key=server-key.pem
require_secure_transport=ON

每个证书和密钥系统变量以 PEM 格式命名一个文件。如果您需要创建所需的证书和密钥文件，请参阅第 6.3.3 节，“创建 SSL 和 RSA 证书和密钥”。使用 OpenSSL 编译的 MySQL 服务器可以在启动时自动生成丢失的证书和密钥文件。请参阅 第 6.3.3.1 节，“使用 MySQL 创建 SSL 和 RSA 证书和密钥”。或者，如果您有 MySQL 源代码分发版，则可以使用其mysql-test/std_data目录中的演示证书和密钥文件来测试您的设置。

服务器执行证书和密钥文件自动发现。--ssl如果除了（可能连同 ）配置加密连接之外没有给出明确的加密连接选项 ssl_cipher，服务器会尝试在启动时自动启用加密连接支持：

如果服务器自动启用加密连接支持，它会在错误日志中写入一条注释。如果服务器发现 CA 证书是自签名的，它会在错误日志中写入一条警告。（如果由服务器自动创建或使用 mysql_ssl_rsa_setup手动创建，则该证书是自签名的。）

MySQL 还为服务器端加密连接控制提供了这些系统变量：

有关与建立加密连接相关的客户端选项的完整列表，请参阅加密连接的 命令选项。

默认情况下，如果服务器支持加密连接，MySQL 客户端程序会尝试建立加密连接，并通过以下 --ssl-mode选项进一步控制：

require_secure_transport如果在服务器端启用系统变量导致服务器需要加密连接， 则尝试建立未加密的连接会失败 。请参阅 将加密连接配置为强制性的。

客户端的以下选项标识客户端在与服务器建立加密连接时使用的证书和密钥文件。它们类似于服务器端使用的 ssl_ca、 ssl_cert和 ssl_key系统变量，但 标识客户端公钥--ssl-cert和 --ssl-key私钥：

为了相对于默认加密提供的额外安全性，客户端可以提供与服务器使用的证书相匹配的 CA 证书并启用主机名身份验证。通过这种方式，服务器和客户端信任同一个 CA 证书，并且客户端验证它连接到的主机是预期的主机：

MySQL 还为客户端加密连接控制提供了这些选项：

根据客户端使用的 MySQL 帐户的加密要求，客户端可能需要指定某些选项以使用加密连接到 MySQL 服务器。

假设您要使用没有特殊加密要求的帐户或使用 CREATE USER包含该REQUIRE SSL子句的语句创建的帐户进行连接。假设服务器支持加密连接，客户端可以使用不带 --ssl-mode选项或带显式--ssl-mode=PREFERRED 选项的加密连接：

mysql

或者：

mysql --ssl-mode=PREFERRED

对于使用REQUIRE SSL 子句创建的帐户，如果无法建立加密连接，则连接尝试失败。对于没有特殊加密要求的帐户，如果无法建立加密连接，则尝试回退到未加密的连接。为防止在无法获得加密连接时回退和失败，请像这样连接：

mysql --ssl-mode=REQUIRED

如果账户有更严格的安全要求，则必须指定其他选项来建立加密连接：

有关该REQUIRE 子句的其他信息，请参阅第 13.7.1.2 节，“CREATE USER 语句”。

MySQL 服务器可以生成客户端证书和密钥文件，客户端可以使用这些文件连接到 MySQL 服务器实例。请参阅 第 6.3.3 节，“创建 SSL 和 RSA 证书和密钥”。

要防止使用加密并覆盖其他 选项，请使用以下命令调用客户端程序 ： --ssl-xxx--ssl-mode=DISABLED

mysql --ssl-mode=DISABLED

要确定当前与服务器的连接是否使用加密，请检查 Ssl_cipher状态变量的会话值。如果该值为空，则连接未加密。否则，连接被加密并且该值指示加密密码。例如：

mysql> SHOW SESSION STATUS LIKE 'Ssl_cipher';
+---------------+---------------------------+
| Variable_name | Value                     |
+---------------+---------------------------+
| Ssl_cipher    | DHE-RSA-AES128-GCM-SHA256 |
+---------------+---------------------------+

对于mysql客户端，另一种方法是使用STATUSor\s 命令并检查该SSL行：

mysql> \s
...
SSL: Not in use
...

或者：

mysql> \s
...
SSL: Cipher in use is DHE-RSA-AES128-GCM-SHA256
...

对于某些 MySQL 部署，使用加密连接可能不仅是可取的，而且是强制性的（例如，为了满足法规要求）。本节讨论使您能够执行此操作的配置设置。这些控制级别可用：

要要求客户端使用加密连接进行连接，请启用 require_secure_transport系统变量。例如，将这些行放在服务器 my.cnf文件中：

[mysqld]
require_secure_transport=ON

With require_secure_transport enabled, client connections to the server are required to use some form of secure transport, and the server permits only TCP/IP connections that use SSL, or connections that use a socket file (on Unix) or shared memory (on Windows). The server rejects nonsecure connection attempts, which fail with an ER_SECURE_TRANSPORT_REQUIRED error.

To invoke a client program such that it requires an encrypted connection whether or not the server requires encryption, use an --ssl-mode option value of REQUIRED, VERIFY_CA, or VERIFY_IDENTITY. For example:

mysql --ssl-mode=REQUIRED
mysqldump --ssl-mode=VERIFY_CA
mysqladmin --ssl-mode=VERIFY_IDENTITY

要将 MySQL 帐户配置为仅可用于加密连接，请在创建帐户REQUIRE的语句中包含一个子句，并 在该子句中指定您需要的加密特征。CREATE USER例如，要要求加密连接和使用有效的 X.509 证书，请使用REQUIRE X509：

CREATE USER 'jeffrey'@'localhost' REQUIRE X509;

有关该REQUIRE 子句的其他信息，请参阅第 13.7.1.2 节，“CREATE USER 语句”。

要修改没有加密要求的现有帐户，请使用该ALTER USER 语句。