同VPC下EC2中SpringBoot连接私有RDS的数据源URL问题排查

关于RDS实例上xyz-1安全组的疑问 #

xyz-1安全组出现在RDS的安全组列表里，大概率是你在创建RDS实例时，除了AWS自动关联的rds-ec2-x安全组外，手动勾选了这个安全组；或者后续通过AWS控制台、CLI等操作，不小心把这个安全组附加到了RDS实例上。你可以去RDS实例的“安全组”配置页，查看该安全组的关联历史，或者检查创建RDS时的操作记录确认。

EC2上Spring Boot应用无法连接RDS的排查步骤 #

你已经能在EC2上用MySQL Workbench连接RDS，说明网络层面的连通性是没问题的，问题大概率出在应用配置或MySQL权限上，按以下步骤排查：

1. 检查Spring Boot数据库URL的参数完整性 #

MySQL 8.0及以上版本对连接参数有强制要求，缺少必要参数会直接导致通信链路失败。你的URL应该补充这些关键参数：

spring.datasource.url=jdbc:mysql://<rds-endpoint>:<rds-port>/<db-name>?useSSL=false&serverTimezone=UTC&allowPublicKeyRetrieval=true

• useSSL=false：私有网络内不需要SSL加密，避免证书验证问题
• serverTimezone=UTC：解决时区不匹配导致的连接报错
• allowPublicKeyRetrieval=true：允许从服务器获取公钥，避免身份验证失败

2. 确认MySQL用户的访问权限 #

RDS上的MySQL用户可能被限制了访问来源。比如如果你的用户是用CREATE USER 'your-user'@'localhost' IDENTIFIED BY 'password';创建的，那只能从RDS本地访问，EC2作为客户端会被拒绝。需要给用户授权允许从EC2的私有IP或整个VPC网段访问：

-- 允许从EC2私有IP访问
GRANT ALL PRIVILEGES ON <db-name>.* TO 'your-user'@'<ec2-private-ip>' IDENTIFIED BY 'password';
-- 或者允许从整个VPC网段访问（比如VPC网段是10.0.0.0/16）
GRANT ALL PRIVILEGES ON <db-name>.* TO 'your-user'@'10.0.0.0/16' IDENTIFIED BY 'password';
-- 刷新权限
FLUSH PRIVILEGES;

3. 验证EC2上的DNS解析是否正常 #

在EC2实例上执行以下命令，确认RDS端点能正确解析到私有IP：

nslookup <rds-endpoint>

如果返回的是RDS的私有IP（比如10.x.x.x），说明解析正常；如果解析失败或返回公网IP，检查EC2所在VPC的DNS配置是否开启了“启用DNS解析”和“启用DNS主机名”。

4. 检查Spring Boot应用的配置文件是否正确打包 #

确保你的application.properties文件被正确打包到Jar包中。可以在EC2上执行以下命令查看Jar包内容：

jar tf your-app.jar | grep application.properties

如果没有输出，说明配置文件没被打包进去，需要调整Maven/Gradle的打包配置，确保src/main/resources下的文件被包含。

5. 查看Spring Boot应用的详细日志 #

启动Jar包时添加日志参数，查看更详细的报错信息：

java -jar your-app.jar --logging.level.com.mysql.cj=DEBUG

从DEBUG日志里可以看到连接失败的具体原因，比如是权限问题、参数问题还是超时问题。

内容的提问来源于stack exchange，提问作者Kanchan Bharti