MySQL 8.4 支援連線的 TLSv1.2 和 TLSv1.3 協定。若要使用 TLSv1.3，MySQL 伺服器和用戶端應用程式都必須使用 OpenSSL 1.1.1 或更高版本編譯。群組複寫元件從 MySQL 8.0.18 開始支援 TLSv1.3（詳細資訊請參閱章節 20.6.2，「使用安全通訊端層 (SSL) 保護群組通訊連線」）。

MySQL 8.4 不支援舊的 TLSv1 和 TLSv1.1 協定。

允許的 TLS 協定可以在伺服器端和用戶端設定，僅包含支援的 TLS 協定子集。雙方的設定必須至少包含一個共同的協定，否則連線嘗試無法協商要使用的協定。詳細資訊請參閱連線 TLS 協定交涉。

主機系統可能僅允許某些 TLS 協定，這表示 MySQL 連線無法使用主機不允許的協定，即使 MySQL 本身允許這些協定。此問題的可能解決方案包括以下幾點

對 TLSv1 和 TLSv1.1 連線協定的支援已在 MySQL 8.0 中被棄用並移除。關於背景資訊，請參閱 IETF 備忘錄 棄用 TLSv1.0 和 TLSv1.1。建議使用更安全的 TLSv1.2 和 TLSv1.3 協定進行連線。TLSv1.3 需要 MySQL 伺服器和用戶端應用程式都使用 OpenSSL 1.1.1 編譯。

移除對 TLSv1 和 TLSv1.1 的支援，是因為這些協定版本較舊，分別於 1996 年和 2006 年發佈。所使用的演算法較弱且過時。除非您使用的是非常舊版本的 MySQL 伺服器或連接器，否則您不太可能使用 TLSv1.0 或 TLSv1.1 進行連線。MySQL 連接器和用戶端預設會選擇可用的最高 TLS 版本。

在不支援 TLSv1 和 TLSv1.1 連線協定的版本中，支援 --tls-version 選項以指定連線至 MySQL 伺服器的 TLS 協定的用戶端（包括 MySQL Shell），無法建立將協定設定為 TLSv1 或 TLSv1.1 的 TLS/SSL 連線。如果用戶端嘗試使用這些協定連線，對於 TCP 連線，連線會失敗，並且會將錯誤傳回給用戶端。對於 Socket 連線，如果 --ssl-mode 設定為 REQUIRED，連線會失敗，否則會建立連線但會停用 TLS/SSL。

如需更多資訊，請參閱 MySQL 8.4 是否支援 TLS 1.0 和 1.1？

在伺服器端，tls_version 系統變數的值決定了 MySQL 伺服器允許加密連線使用哪些 TLS 協定。tls_version 值適用於來自用戶端的連線、此伺服器執行個體為來源的常規來源/複本複寫連線、群組複寫群組通訊連線，以及此伺服器執行個體為捐贈者的群組複寫分散式復原連線。管理連線介面也以類似方式設定，但使用 admin_tls_version 系統變數（請參閱 第 7.1.12.2 節「管理連線管理」）。此討論也適用於 admin_tls_version。

tls_version 值是一個或多個以逗號分隔的 TLS 協定版本列表，不區分大小寫。預設情況下，此變數會列出用於編譯 MySQL 的 SSL 函式庫以及 MySQL 伺服器版本所支援的所有協定。因此，預設設定如 表 8.13「MySQL 伺服器 TLS 協定預設設定」所示。

若要在執行階段判斷 tls_version 的值，請使用此陳述式

mysql> SHOW GLOBAL VARIABLES LIKE 'tls_version';
+---------------+-----------------------+
| Variable_name | Value                 |
+---------------+-----------------------+
| tls_version   | TLSv1.2,TLSv1.3       |
+---------------+-----------------------+

若要變更 tls_version 的值，請在伺服器啟動時設定它。例如，若要允許使用 TLSv1.2 或 TLSv1.3 協定的連線，但禁止使用安全性較低的 TLSv1 和 TLSv1.1 協定的連線，請在伺服器 my.cnf 檔案中使用以下幾行

[mysqld]
tls_version=TLSv1.2,TLSv1.3

若要更加嚴格且只允許 TLSv1.3 連線，請像這樣設定 tls_version

[mysqld]
tls_version=TLSv1.3

tls_version 可以在執行階段變更。請參閱 加密連線的伺服器端執行階段組態和監控。

在用戶端端，--tls-version 選項指定用戶端程式允許連線至伺服器使用哪些 TLS 協定。選項值的格式與先前描述的 tls_version 系統變數相同（一個或多個以逗號分隔的協定版本列表）。

對於此伺服器執行個體為複本的來源/複本複寫連線，CHANGE REPLICATION SOURCE TO 陳述式的 SOURCE_TLS_VERSION 選項指定複本允許連線至來源使用哪些 TLS 協定。選項值的格式與先前描述的 tls_version 系統變數相同。請參閱 第 19.3.1 節「設定複寫以使用加密連線」。

可以為 SOURCE_TLS_VERSION 指定的協定取決於 SSL 函式庫。此選項獨立於且不受伺服器 tls_version 值影響。例如，可以將作為複本的伺服器設定為將 tls_version 設定為 TLSv1.3，以僅允許使用 TLSv1.3 的傳入連線，但也可以將 SOURCE_TLS_VERSION 設定為 TLSv1.2，以僅允許 TLSv1.2 用於傳出複本連線至來源。

對於此伺服器執行個體是啟動分散式復原的加入成員（即用戶端）的群組複寫分散式復原連線，group_replication_recovery_tls_version 系統變數指定用戶端允許使用哪些協定。同樣地，此選項獨立於且不受伺服器 tls_version 值影響，當此伺服器執行個體為捐贈者時，此值會套用。群組複寫伺服器通常在其群組成員資格期間，同時以捐贈者和加入成員的身分參與分散式復原，因此應設定這兩個系統變數。請參閱 第 20.6.2 節「使用安全通訊端層 (SSL) 保護群組通訊連線」。

TLS 協定組態會影響給定連線使用的協定，如連線 TLS 協定協商中所述。

應選擇允許的協定，以避免在列表中留下「漏洞」。例如，這些伺服器組態值沒有漏洞

tls_version=TLSv1,TLSv1.1,TLSv1.2,TLSv1.3
tls_version=TLSv1.1,TLSv1.2,TLSv1.3
tls_version=TLSv1.2,TLSv1.3
tls_version=TLSv1.3

這些值有漏洞，不應使用

tls_version=TLSv1,TLSv1.2       (TLSv1.1 is missing)
tls_version=TLSv1.1,TLSv1.3     (TLSv1.2 is missing)

對漏洞的禁止也適用於其他組態環境，例如用戶端或複本。

除非您打算停用加密連線，否則允許的協定清單不應為空。如果您將 TLS 版本參數設定為空字串，則無法建立加密連線

預設的一組密碼適用於加密連線，可以透過明確組態允許的密碼來覆寫。在建立連線期間，連線的雙方都必須允許一些共用的密碼，否則連線會失敗。在雙方共用的允許密碼中，SSL 函式庫會選擇提供的憑證所支援的、優先順序最高的密碼。

若要指定適用於使用 TLS 協定 (最高至 TLSv1.2) 的加密連線的密碼

對於使用 TLSv1.3 的加密連線，OpenSSL 1.1.1 及更高版本支援下列密碼套件，所有這些密碼套件預設為啟用，可搭配伺服器系統變數 --tls-ciphersuites 或 --admin-tls-ciphersuites 使用。

TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256
TLS_AES_128_CCM_SHA256

若要明確設定允許的 TLSv1.3 密碼套件，請設定下列參數。在每種情況下，組態值都是零個或多個以冒號分隔的密碼套件名稱的清單。

密碼套件支援要求 MySQL 伺服器和用戶端應用程式都必須使用 OpenSSL 1.1.1 或更高版本編譯。

給定的密碼可能僅適用於特定的 TLS 通訊協定，這會影響 TLS 通訊協定協商程序。請參閱連線 TLS 通訊協定協商。

若要判斷給定伺服器支援哪些密碼，請檢查 Ssl_cipher_list 狀態變數的工作階段值。

SHOW SESSION STATUS LIKE 'Ssl_cipher_list';

Ssl_cipher_list 狀態變數會列出可能的 SSL 密碼（對於非 SSL 連線為空）。如果 MySQL 支援 TLSv1.3，則值會包含可能的 TLSv1.3 密碼套件。

對於使用 TLS.v1.3 的加密連線，MySQL 會使用 SSL 程式庫的預設密碼套件清單。

對於使用 TLS 通訊協定（最高到 TLSv1.2）的加密連線，當搭配伺服器系統變數 --ssl-cipher 和 --admin-ssl-cipher 使用時，MySQL 會將下列預設密碼清單傳遞至 SSL 程式庫。

ECDHE-ECDSA-AES128-GCM-SHA256
ECDHE-ECDSA-AES256-GCM-SHA384
ECDHE-RSA-AES128-GCM-SHA256
ECDHE-RSA-AES256-GCM-SHA384
ECDHE-ECDSA-CHACHA20-POLY1305
ECDHE-RSA-CHACHA20-POLY1305
ECDHE-ECDSA-AES256-CCM
ECDHE-ECDSA-AES128-CCM
DHE-RSA-AES128-GCM-SHA256
DHE-RSA-AES256-GCM-SHA384
DHE-RSA-AES256-CCM
DHE-RSA-AES128-CCM
DHE-RSA-CHACHA20-POLY1305

這些密碼限制已生效

如果使用 ssl_cert 系統變數設定為使用任何上述限制密碼或密碼類別的憑證來啟動伺服器，則伺服器啟動時會停用對加密連線的支援。

MySQL 中的連線嘗試會協商使用雙方都可用的最高 TLS 通訊協定版本，且該版本具有雙方都可使用的通訊協定相容加密密碼。協商程序取決於諸多因素，例如用於編譯伺服器和用戶端的 SSL 程式庫、TLS 通訊協定和加密密碼組態，以及使用的金鑰大小

如果伺服器和用戶端沒有共通的允許通訊協定，且沒有共通的與通訊協定相容的密碼，則伺服器會終止連線請求。範例

MySQL 允許指定要支援的通訊協定清單。此清單會直接傳遞到基礎的 SSL 程式庫，最終由該程式庫決定實際從提供的清單中啟用哪些通訊協定。請參閱 MySQL 原始碼和 OpenSSL SSL_CTX_new() 文件，以瞭解 SSL 程式庫如何處理此問題。

若要判斷目前用戶端工作階段使用的加密 TLS 通訊協定和密碼，請檢查 Ssl_version 和 Ssl_cipher 狀態變數的工作階段值。

mysql> SELECT * FROM performance_schema.session_status
       WHERE VARIABLE_NAME IN ('Ssl_version','Ssl_cipher');
+---------------+---------------------------+
| VARIABLE_NAME | VARIABLE_VALUE            |
+---------------+---------------------------+
| Ssl_cipher    | DHE-RSA-AES128-GCM-SHA256 |
| Ssl_version   | TLSv1.2                   |
+---------------+---------------------------+

如果連線未加密，則這兩個變數都具有空值。