SQL Server 2022加密中Mandatory模式与Strict模式的差异及配置咨询

你提的这个问题确实是SQL Server 2022和ODBC Driver 18.0里新增的关键点，很多人刚接触Strict模式都会有疑惑，我来给你梳理清楚两者的核心差异和Strict模式的具体特性：

核心模式逻辑差异 #

• Mandatory模式：只要求连接必须加密，但对加密协议版本、证书验证的要求相对宽松。比如它允许使用TLS 1.2甚至更低版本（只要SQL Server支持），而且如果证书是自签名或者主机名不匹配，在配置了TrustServerCertificate=yes的情况下仍能建立连接。
• Strict模式：这是SQL Server 2022+和ODBC 18.0+专属的强化加密模式，它在Mandatory的基础上增加了更严格的安全校验：
  • 强制证书有效性验证：必须确保SQL Server的证书未过期、主机名与连接的服务器地址完全匹配，默认不允许自签名证书（除非你明确指定信任该证书的路径）。
  • 优先强制使用TLS 1.3：Strict模式默认要求连接使用TLS 1.3协议，只有当SQL Server不支持TLS 1.3时，才会降级到TLS 1.2作为兼容 fallback，从根源上提升加密连接的安全性。
  • 支持精准证书配置：正如你观察到的，Strict模式允许你指定证书的预期主机名和证书文件路径，这是为了更精准地校验服务器身份，彻底规避中间人攻击的风险。

配置层面的区别 #

• 在ODBC连接字符串中，Mandatory模式对应的参数是 Encrypt=Mandatory，Strict模式则是 Encrypt=Strict。
• 若使用Strict模式时需要信任特定自签名证书，可搭配 TrustServerCertificate=no 同时指定 Certificate=<证书文件路径> 参数，确保只信任你指定的合法证书。

简单来说，Strict模式就是Mandatory模式的安全强化版，把之前可选的安全校验项变成了强制要求，目的是让加密连接的安全性完全符合现代网络安全标准。

备注：内容来源于stack exchange，提问作者username