php数据库连接加密依赖底层驱动tls/ssl配置，需显式启用ssl参数并安全管理证书文件，验证连接加密状态，或通过stunnel等代理实现隧道加密。
PHP 中数据库连接本身不加密，加密依赖于底层数据库驱动（如 MySQLi、PDO）是否启用 TLS/SSL，证书管理则需在 PHP 应用层和数据库服务端协同配置。核心不是“PHP 加密数据”，而是“建立加密连接”并安全保管证书文件。
启用 MySQL/TLS 加密连接
使用 PDO 或 MySQLi 时，必须显式开启 SSL 参数，仅靠数据库用户密码或应用层加密无法保护传输中数据：
- PDO 连接示例：
new PDO('mysql:host=localhost;dbname=test;ssl_mode=REQUIRED', $user, $pass, [
PDO::MYSQL_ATTR_SSL_CA => '/path/to/ca.pem',
PDO::MYSQL_ATTR_SSL_CERT => '/path/to/client-cert.pem',
PDO::MYSQL_ATTR_SSL_KEY => '/path/to/client-key.pem'
]) - MySQLi 连接示例：
$mysqli = new mysqli($host, $user, $pass, $db, $port);
$mysqli->ssl_set('/path/to/client-key.pem', '/path/to/client-cert.pem', '/path/to/ca.pem', null, null);
$mysqli->options(MYSQLI_OPT_SSL_MODE, MYSQLI_SSL_MODE_REQUIRED); - 注意：`ssl_mode=REQUIRED` 仅验证服务器证书；若需双向认证（mTLS），必须提供 client-cert/client-key，且数据库服务端需配置 `require X509` 或 `require SSL` 并校验客户端证书 CN/O 字段。
证书文件的安全存放与权限控制
证书私钥（.key）一旦泄露等于暴露数据库访问凭证，不能放在 Web 可访问目录（如 public_html 或 htdocs）：
DESTOON B2B网站管理系统
下载
DESTOON B2B网站管理系统是一套完善的B2B(电子商务)行业门户解决方案。系统基于PHP+MySQL开发，采用B/S架构，模板与程序分离，源码开放。模型化的开发思路，可扩展或删除任何功能；创新的缓存技术与数据库设计，可负载千万级别数据容量及访问。
- 将证书文件存放在 PHP 进程可读、但 Web 服务器（Apache/Nginx）无法直接响应的路径，例如：
/etc/php-ssl/mysql-client/（Linux）或 C:\php\ssl\（Windows） - 设置严格文件权限：
Linux 下执行 chmod 600 /etc/php-ssl/mysql-client/client-key.pem，确保只有 PHP 运行用户（如www-data或apache）可读 - 避免硬编码路径，通过环境变量注入：
putenv('MYSQL_SSL_CA=/etc/php-ssl/ca.pem');
在连接时读取：getenv('MYSQL_SSL_CA')
验证连接是否真正加密
不能仅凭代码配置就认为连接已加密，必须主动验证：
立即学习“PHP免费学习笔记（深入）”；
- 连接后执行 SQL：SHOW STATUS LIKE 'Ssl_cipher';，返回非空值（如
AES256-SHA）表示 TLS 已启用 - 检查 MySQL 错误日志，确认无
SSL connection error或证书过期警告 - 用 tcpdump 或 Wireshark 抓包，过滤 3306 端口，确认应用与 DB 之间流量为 TLS 密文（不可见明文 SQL 或凭证）
- 禁用 SSL 后测试连接应失败（如移除
ssl_mode或设为DISABLED），否则说明服务端未强制加密
替代方案：代理层加密（适用云数据库或受限环境）
当无法控制数据库服务端 SSL 配置（如某些共享云 MySQL 实例），或 PHP 主机不支持 OpenSSL 扩展时，可用轻量代理实现加密隧道：
- 部署 stunnel 或 socat 作为本地 TCP 代理，监听 3307 端口，转发到远程 MySQL 的 3306 并启用 TLS
- PHP 连接 localhost:3307（明文），代理负责加解密，证书由代理管理
- 优点：PHP 无需修改 SSL 参数，证书集中托管在代理进程；缺点：增加单点故障与延迟，需额外维护代理服务
