如何在MySQLdb中无证书使用SSL连接AWS MySQL服务器？

我正好碰到过几乎一模一样的场景，AWS RDS MySQL要求SSL但不需要客户端证书，MySQLdb的参数逻辑确实和mysqlconnector不一样，给你几个亲测有效的解决方案：

1. 直接使用MySQLdb.connect()的正确写法 #

MySQLdb不需要传空的ca参数，而是用ssl_mode='REQUIRED'来强制SSL连接，同时只验证服务器证书（不需要客户端提供任何证书/密钥）：

import MySQLdb

# 替换成你的数据库实际信息
conn = MySQLdb.connect(
    host="your-aws-mysql-endpoint",
    user="your-db-username",
    password="your-db-password",
    database="your-db-name",
    ssl_mode="REQUIRED"
)

# 简单测试连接有效性
cursor = conn.cursor()
cursor.execute("select id from mytable limit 1")
print(cursor.fetchone())
cursor.close()
conn.close()

这个参数的语义很明确：必须建立SSL连接，并且验证服务器返回的CA证书（AWS RDS的根证书在大多数现代系统里已经被默认信任，所以不用额外指定证书文件）。

2. SQLAlchemy配合MySQLdb的配置 #

你之前第一种方式用connect_args={'ssl':{'ca': ''}}没用，是因为MySQLdb不认可这种空值写法，改成传递ssl_mode参数就可以正常工作了：

from sqlalchemy import create_engine
import pandas as pd

# 原始的MySQLdb连接字符串
con_str = "mysql://your-username:your-password@your-aws-endpoint/your-db-name"

# 关键是添加ssl_mode参数
engine = create_engine(con_str, connect_args={"ssl_mode": "REQUIRED"})

# 测试查询
df = pd.read_sql_query("select id from mytable limit 1", engine)
print(df)

如果你的MySQLdb版本比较旧（低于1.4.0），可能不支持ssl_mode参数，那可以试试直接传ssl=True：

engine = create_engine(con_str, connect_args={"ssl": True})

这个写法也能强制启用SSL连接，并且不需要客户端证书。

3. 为什么之前的方式无效？ #

mysqlconnector接受ssl_ca=''来表示跳过客户端证书验证，但MySQLdb的参数逻辑完全不同：

• 如果你传ssl={'ca': ''}，MySQLdb会认为你要指定一个空路径的证书文件，反而会报错或者直接不启用SSL
• 而ssl_mode='REQUIRED'是明确的语义：必须用SSL，验证服务器身份，不需要客户端提供证书，完美匹配AWS的要求

补充：如果遇到证书验证失败 #

如果你的系统默认不信任AWS的根证书（比如某些老旧环境），可以下载AWS官方的rds-combined-ca-bundle.pem证书文件，然后指定ca路径：

# MySQLdb直接连接
conn = MySQLdb.connect(
    host="your-endpoint",
    user="your-user",
    password="your-pass",
    database="your-db",
    ssl={"ca": "/path/to/rds-combined-ca-bundle.pem"}
)

# SQLAlchemy写法
engine = create_engine(con_str, connect_args={"ssl": {"ca": "/path/to/rds-combined-ca-bundle.pem"}})

不过这种情况比较少见，大部分现代环境都已经信任AWS的根证书了。

内容的提问来源于stack exchange，提问作者Nico Albers