MySQL服务器连接何时才算安全？SSL配置相关疑问咨询

问题描述 #

本地部署MySQL 5.7，创建了两个用户：默认root用户，以及开启REQUIRE SSL选项的ssl_user。使用以下配置连接ssl_user时，会出现“ssl_user无访问权限”的错误：

mysql_conf = {
    'host': '127.0.0.1',
    'port': '3306',
    'user': 'ssl_user',
    'password': '<your_password>',
    'ssl_disabled': True # 默认值为False    
}
conn = mysql.connector.connect(**mysql_conf)

将ssl_disabled改为False后可成功连接，但conn.is_secure的值为False。

此外，配置了SSL证书的Google Cloud SQL实例，使用以下配置可成功连接，但conn.is_secure的值仍为False：

mysql_config = {
    'host': '<cloud_SQL_IP>',
    'port': '3306',
    'user': 'root',
    'password': 'admin@123',
    'database': 'test_database',
    'ssl_ca': '/Users/<username>/Downloads/server-ca.cer',
    'ssl_cert': '/Users/<username>/Downloads/client-cert.cer',
    'ssl_key': '/Users/<username>/Downloads/client-key.cer',
    'ssl_disabled': False,
    'ssl_verify_cert': True,
}
conn = mysql.connector.connect(**mysql_config)

疑问：ssl_disabled: False的连接方式与提供SSL证书的连接方式到底有何区别？证书仅是额外的安全层吗？

解答 #

一、两种SSL配置的核心区别 #

1. ssl_disabled=False（无证书配置）

• 该参数仅指示客户端尝试发起SSL连接，但不强制身份验证：既不要求客户端验证服务器的真实性，也不向服务器提供客户端身份证书。
• 当MySQL服务器支持SSL但未配置强制证书验证时，会建立匿名SSL连接：数据传输过程是加密的，但客户端无法确认服务器是否为真实目标（存在中间人攻击风险），服务器也不会验证客户端身份。
• 这就是为什么连接ssl_user（要求REQUIRE SSL）时，设为False能成功——因为满足了“必须使用SSL连接”的要求，但这种连接的安全等级较低。

2. 提供SSL证书的连接

这是双向认证的SSL/TLS连接，安全等级更高：

• 通过ssl_ca指定CA证书，客户端会验证服务器证书是否由可信CA签发，确保连接的是真实的目标服务器，彻底杜绝中间人攻击。
• 通过ssl_cert和ssl_key提供客户端证书与密钥，服务器会验证客户端的合法身份，只有持有对应证书的客户端才能建立连接（比如Google Cloud SQL默认要求这种客户端认证）。
• 这种模式不仅加密数据传输，还通过双向身份验证确保连接的双方都是可信的。

二、conn.is_secure返回False的原因 #

本地连接场景

即使启用了SSL（ssl_disabled=False），但因为使用的是匿名SSL连接（无证书验证环节），mysql-connector-python的is_secure属性仅在使用带身份验证的SSL连接时才会返回True，因此显示False。

Google Cloud SQL场景

这种情况大多是mysql-connector-python版本问题：旧版本的连接器可能无法正确识别TLS 1.2/1.3连接的安全性，或者is_secure属性的判断逻辑存在bug。建议升级到最新版本的mysql-connector-python后再检查该值。

另外，你可以通过执行SQL语句确认连接是否真的加密：

SHOW SESSION STATUS LIKE 'Ssl_cipher';

如果返回的Ssl_cipher字段不为空，说明连接确实是加密的，is_secure的返回值只是连接器的显示问题。

内容的提问来源于stack exchange，提问作者Vaibhav