MariaDB连接中REQUIRE SSL与REQUIRE X509的区别及原理疑问

一、REQUIRE SSL的加密实现与浏览器访问自签网站的异同 #

REQUIRE SSL启用的是单向SSL/TLS认证，交互流程如下：

1. 客户端发起连接请求，服务器主动出示自身SSL证书；
2. 客户端验证服务器证书的合法性（比如签名有效性、有效期）；
3. 验证通过后，双方协商生成对称加密密钥，后续通信全程用该密钥加密；
4. 整个过程客户端无需向服务器提交自身证书。

这和浏览器访问自签名证书网站的核心逻辑一致：浏览器会因自签证书无受信任CA背书弹出风险提示，但用户手动确认信任后，依然会和服务器完成密钥协商实现加密通信——本质都是单向认证，仅要求服务器提供证书，客户端无需提交凭证，仅完成对服务器身份的验证（或用户手动信任）。

二、REQUIRE X509的客户端可信验证逻辑 #

REQUIRE X509启用的是双向SSL/TLS认证，服务器不仅保障连接加密，还要确认客户端身份：

1. 先完成单向认证的基础流程（服务器出示自身证书）；
2. 服务器额外要求客户端出示X509证书；
3. 服务器对客户端证书做多层验证：
   • 检查证书是否在有效期内、格式合规；
   • 验证证书签名是否由服务器信任的CA（或预先信任的证书主体）签发；
   • 确认证书用途包含客户端身份认证（扩展字段Extended Key Usage需含clientAuth）；
4. 只有所有验证项通过，服务器才接受连接。

如果只是随意安装未被服务器信任的证书（比如自行生成、非服务器信任CA签发的），服务器会直接拒绝连接——因为签名验证不通过，无法确认客户端的可信身份。

三、配置X509仅接受同CA签发的客户端证书 #

完全可以实现，核心是让服务器只信任指定CA的根证书，并配置验证规则：

• 以MySQL为例，可通过REQUIRE ISSUER '<CA的DN信息>'语句，指定仅接受特定CA签发的客户端证书；
• 在Nginx等Web服务器中，通过ssl_client_certificate指定CA根证书文件，同时启用ssl_verify_client on，服务器会自动验证客户端证书是否由该CA（或其下级CA）签发，非该CA签发的证书会被直接拒绝。

内容的提问来源于stack exchange，提问作者SkipTripAhead