Laravel如何配置数据库SSL连接确保数据传输安全？

本文共计793个文字，预计阅读时间需要4分钟。

常见现象是配置了CA证书路径但连接仍未加密，导致报错SSL connection error: unknown error number。根本原因并非Laravel本身问题，而是底层PDO在建立连接前未指定SSL选项，导致未传递给MySQL驱动。

实操建议：

• 必须在config/database.php的mysql连接配置里显式启用'options'，且用PDO::MYSQL_ATTR_SSL_CA、PDO::MYSQL_ATTR_SSL_CERT、PDO::MYSQL_ATTR_SSL_KEY这三个常量（不是PDO::ATTR_SSL_*）
• 证书路径必须是绝对路径，推荐用base_path('certs/ca.pem')而非相对路径
• 如果MySQL服务端只允许SSL连接（REQUIRE SSL），还要加'ssl_mode' => 'REQUIRED'到配置中，否则PDO默认会降级为非SSL

Laravel 9+ 使用DB::connection()动态切SSL连接失败

想在运行时临时切换带SSL的连接（比如只对某次查询启用加密），直接调用DB::connection('mysql-ssl')却连上默认无SSL的连接——这是因为Laravel的连接池在首次解析配置后就缓存了PDO实例，后续不会重新读取options。

实操建议：

• 不要依赖运行时重连，而是在config/database.php里定义一个独立连接名，如'mysql-ssl'，完整复制mysql配置并只改options和ssl_mode
• 确保该连接在DB::reconnect('mysql-ssl')前未被使用过，否则仍会复用旧连接
• 验证是否真走SSL：执行DB::select("SHOW STATUS LIKE 'Ssl_cipher'")，返回非空值才算成功

部署到Docker或Laravel Vapor时证书文件找不到

本地测试OK，一上容器就报failed to load ca certificate，本质是PHP进程没权限读取挂载进来的证书路径，或者路径在容器内根本不存在。

实操建议：

• Docker中用VOLUME或copy把证书放进镜像固定路径（如/etc/ssl/mysql-ca.pem），配置里写死这个路径
• Vapor环境下不能用base_path()，因为代码包解压后storage和bootstrap目录结构不同，应改用__DIR__.'/../certs/ca.pem'这种相对定位
• 检查PHP的open_basedir限制是否拦住了证书路径，可通过ini_get('open_basedir')确认

MySQL 8.0+ 默认require_secure_transport导致Laravel连接被拒

错误信息通常是Access denied for user 'xxx'@'xxx' (using password: YES)，但用户名密码完全正确。这是MySQL服务端强制要求SSL，而Laravel默认连接没声明SSL能力。

实操建议：

• 先确认服务端设置：SELECT @@require_secure_transport;，若为ON，客户端必须提供SSL参数
• 除了配置options，还必须在数据库用户权限里显式授权SSL：GRANT ALL ON *.* TO 'user'@'%' REQUIRE SSL;，仅CREATE USER ... REQUIRE SSL不够
• 若无法改服务端，临时方案是在连接字符串里加&ssl_mode=DISABLED（仅限测试），但Laravel 10+已弃用此方式，应改用'ssl_mode' => 'DISABLED'配置项

真正麻烦的是混合环境：有些查询要SSL，有些不用，又不想维护两套连接配置。这时候得靠中间件或Repository层做路由判断，而不是指望框架自动识别。