polarDB for mysql Springboot应用使用ssl证书连接数据库

准备工作

1. 开启SSL加密：

   • 登录PolarDB控制台。
   • 选择集群所在地域。
   • 找到目标集群，点击集群ID。
   • 在左侧菜单栏中点击配置与管理 > 安全管理。
   • 在SSL配置页签，开启SSL加密，选择需要加密的链路（内网或外网），并确认设置。

2. 下载CA证书：

   • 开启SSL后，在SSL配置页签，点击下载证书，获取包含.pem、.p7b、.jks格式的CA证书压缩包。

Spring Boot配置

在Spring Boot项目的application.properties或application.yml中添加以下配置来启用SSL连接：

application.properties 示例

spring.datasource.url=jdbc:mysql://your_polar_db_endpoint:port/database_name?useSSL=true&requireSSL=true&serverTimezone=UTC
spring.datasource.username=your_username
spring.datasource.password=your_password
# SSL证书相关配置
spring.datasource.driver-class-name=com.mysql.cj.jdbc.Driver
spring.datasource.testWhileIdle=true
spring.datasource.validationQuery=SELECT 1

注意事项

• 确保useSSL=true和requireSSL=true已设置，以强制SSL连接。
• 替换your_polar_db_endpoint:port、database_name、your_username和your_password为实际的数据库连接信息。
• 使用com.mysql.cj.jdbc.Driver作为驱动类名，支持SSL连接。

导入CA证书至Java信任库（如果使用JKS证书）

1. 下载CA证书：

   • 首先，确保已从PolarDB控制台的SSL配置页面下载了CA证书压缩包，该包应包含.jks文件（以及其他格式的证书文件）。

2. 准备Java环境：

   • 确认Java开发工具包(JDK)版本为7或8，并准备进行安全配置的调整。如果使用的是其他版本的JDK，请查阅相应版本的安全配置指南。

3. 修改JDK安全配置：

• 在Java安装目录下的jre/lib/security/目录中找到java.security文件。
• 使用文本编辑器打开java.security文件，找到并修改以下两项配置

• jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
  jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

• 这些修改是为了避免因Java安全限制而导致的连接错误。

1. 导入JKS证书到Java信任库：

   • 使用keytool命令行工具（位于JDK的bin目录中）来导入JKS证书。命令示例如下：

     keytool -importkeystore -srckeystore /path/to/downloaded/certificate.jks -srcstorepass apsaradb -destkeystore ${JAVA_HOME}/jre/lib/security/cacerts -deststorepass changeit

     • /path/to/downloaded/certificate.jks 是您下载的JKS证书的完整路径。
     • ${JAVA_HOME} 是您的Java安装目录。
     • changeit 是默认的cacerts密钥库的密码，如果您的环境使用了不同的密码，请做相应替换。
     • 此命令会将JKS证书导入到Java默认的信任库cacerts中。

2. 验证导入：

   • 为了验证证书是否成功导入，您可以尝试使用Java应用程序连接到PolarDB，看是否能够通过SSL加密的连接正常工作。

重要提示：

• 修改java.security文件和导入证书到信任库之前，请确保备份原文件，以防配置错误导致服务中断。
• 成功导入证书后，Java应用程序应当能够识别并信任来自PolarDB的SSL连接，从而避免SSL握手异常等错误。

怎么查看是否用了ssl连接去连接数据库

SHOW STATUS LIKE 'ssl_cipher';

如果返回结果中的Value列非空，如显示为某种加密套件（如AES128-GCM-SHA256），则表示该连接是通过SSL加密的。如果返回空值，则表示连接没有使用SSL加密