使用SSL证书通过PHP认证MySQL失败，寻求解决办法

针对你遇到的PHP连接MySQL SSL认证失败的问题，以下是常见原因及对应解决方案：

1. 路径转义错误（最可能的原因） #

Windows路径中的反斜杠\在PHP字符串中属于转义字符，直接写C:\certs\client-key.pem会导致路径解析错误，PHP无法找到证书文件。

修复示例：

• 将路径中的反斜杠改为双反斜杠\\，或直接使用正斜杠/：
  mysqli代码修改：

  $db = mysqli_init();
  mysqli_options ($db, MYSQLI_OPT_SSL_VERIFY_SERVER_CERT, true);
  
  // 使用正斜杠路径
  $db->ssl_set('C:/certs/client-key.pem', 'C:/certs/client-cert.pem', 'C:/certs/ca-cert.pem', NULL, NULL);
  $link = mysqli_real_connect ($db, 'localhost', 'user-with-ssl', 'sslpassword', 'database', 3306, NULL, MYSQLI_CLIENT_SSL);
  

  PDO代码修改：

  $pdo = new PDO(
      'mysql:host=localhost;dbname=database',
      'user-with-ssl',
      'sslpassword',
      array(
          PDO::MYSQL_ATTR_SSL_KEY => 'C:/certs/client-key.pem',
          PDO::MYSQL_ATTR_SSL_CERT => 'C:/certs/client-cert.pem',
          PDO::MYSQL_ATTR_SSL_CA => 'C:/certs/ca-cert.pem',
      )
  );
  

2. PHP进程无证书文件读取权限 #

Windows下运行PHP的进程（如IIS应用池用户、Apache服务用户）可能没有访问C:\certs目录及证书文件的权限，导致无法加载证书。

解决方法：
右键C:\certs目录 → 属性 → 安全 → 编辑，添加PHP运行进程的用户（如IIS AppPool\DefaultAppPool），赋予读取和执行权限。

3. 服务器证书CN与主机名不匹配 #

生成MySQL服务器证书时，Common Name(CN)若不是localhost（或你连接时使用的主机名），PHP验证服务器证书会因CN不匹配报错；而mysql.exe默认未严格验证该规则，因此能成功连接。

解决方法：

• 重新生成服务器证书，确保CN设置为localhost（或实际连接用的主机名）；
• 测试环境可临时关闭主机名验证（生产环境不建议）：
  mysqli添加：

  mysqli_options($db, MYSQLI_OPT_SSL_VERIFY_SERVER_CERT, false);
  

  PDO添加：

  PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT => false,
  

  注：若关闭验证后仍报unknown ca，优先排查路径问题。

4. MySQL用户权限配置问题 #

确认user-with-ssl账号的SSL权限配置：

-- 查看用户权限
SHOW GRANTS FOR 'user-with-ssl'@'localhost';

• 若账号配置为REQUIRE SSL：仅要求加密连接，无需客户端证书；
• 若账号配置为REQUIRE X509：要求客户端提供由指定CA签名的证书，需确保你的客户端证书是用ca-cert.pem签名的。

同时确认用户的主机限制为localhost，与连接时的主机一致。

验证步骤 #

1. 检查证书路径有效性：

var_dump(file_exists('C:/certs/client-key.pem')); // 应返回true
var_dump(file_exists('C:/certs/client-cert.pem'));
var_dump(file_exists('C:/certs/ca-cert.pem'));

2. 用OpenSSL验证证书链：

openssl verify -CAfile C:\certs\ca-cert.pem C:\certs\client-cert.pem
openssl verify -CAfile C:\certs\ca-cert.pem C:\certs\server-cert.pem

验证通过则说明证书本身无问题。

内容的提问来源于stack exchange，提问作者Exec