发布于

JDBC连接MySQL数据库警告：Establishing SSL connection without server’s identity verification is not recommend

JDBC连接MySQL出现如下警告：

Establishing SSL connection without server’s identity verification is not recommended. According to MySQL 5.5.45+, 5.6.26+ and 5.7.6+ requirements SSL connection must be established by default if explicit option isn’t set. For compliance with existing applications not using SSL the verifyServerCertificate property is set to ‘false’. You need either to explicitly disable SSL by setting useSSL=false, or set useSSL=true and provide truststore for server certificate verification.

原因是高版本MySQL需要指明是否进行SSL连接。

解决方法是在JDBC连接MySQL的URL字符串中加入useSSL=true或者useSSL=false即可，例如：

jdbc:mysql://127.0.0.1:3306/framework?serverTimezone=UTC&characterEncoding=utf8&useSSL=false

如果你的连接确实没有暴露给网络（仅限本地主机），或者你在没有真实数据的非生产环境中工作，那么可以肯定的是：通过包含选项useSSL=false来禁用SSL没有坏处。

如果要使用useSSL=true，需要以下一组选项才能使SSL使用证书、主机验证并禁用弱协议选项：

  • useSSL=true
  • sslMode=VERIFY_IDENTITY
  • trustCertificateKeyStoreUrl=file:path_to_keystore
  • trustCertificateKeyStorePassword=password
  • enabledTLSProtocols=TLSv1.2

因此，作为一个示例，让我们假设你希望使用SSL将其中一种Atlassian产品（Jira、Confluence、Bamboo等）连接到MySQL服务器，你需要执行以下主要步骤：

  • 首先，确保你有一个为MySQL服务器主机生成的有效的SSL/TLS证书，并且CA证书安装在客户端主机上（如果你使用自签名，那么你可能需要手动执行此操作，但对于流行的公共CA，它已经在那里了）。
  • 接下来，确保java密钥库包含所有CA证书。在Debian/Ubuntu上，这是通过运行以下命令来实现的：
update-ca-certificates -f
chmod 644 /etc/ssl/certs/java/cacerts
  • 最后，更新Atlassian产品使用的连接字符串以包含所有必需的选项，这在Debian/Ubuntu上类似于：
jdbc:mysql://mysql_server/confluence?useSSL=true&sslMode=VERIFY_IDENTITY&trustCertificateKeyStoreUrl=file%3A%2Fetc%2Fssl%2Fcerts%2Fjava%2Fcacerts&trustCertificateKeyStorePassword=changeit&enabledTLSProtocols=TLSv1.2&useUnicode=true&characterEncoding=utf8

更多相关信息请参见MySQL官方文档https://dev.mysql.com/doc/connector-j/8.0/en/connector-j-reference-using-ssl.html。

参考

https://beansandanicechianti.blogspot.com/2019/11/mysql-ssl-configuration.html