WordPress与数据库双向SSL加密实战：MariaDB 10.6/MySQL 8.0安全连接指南

阿银

9小时前更新

在数据泄露频发的时代，你的网站数据真的安全吗？

你是否担心WordPress网站与数据库之间的通信被窃听或篡改？单向SSL加密已经不足以保护敏感数据。双向SSL加密（又称 mutual SSL）要求客户端和服务器端互相验证身份，为远程数据库连接提供最高级别的安全保障。

今天就来聊聊如何为MariaDB 10.6/MySQL 8.0与WordPress之间搭建双向SSL加密连接，使用Nginx或OpenLiteSpeed作为Web服务器。

什么是双向SSL加密，为什么需要它？

传统的单向SSL只加密通信通道，而双向SSL加密增加了身份验证的双向确认。它不仅确保数据在传输过程中被加密，还保证了只有经过身份验证的客户端才能连接到数据库服务器。

对于WordPress网站来说，这意味着即使攻击者获取了数据库凭证，没有正确的客户端证书也无法建立连接。这为你的用户数据、文章内容和其他敏感信息增加了额外保护层。

第一步：数据库服务器端的SSL配置

1.1 生成SSL证书和密钥

首先需要在数据库服务器上生成自签名证书（生产环境建议使用可信CA签发的证书）。

# 生成CA私钥和证书 openssl genrsa 2048 > ca-key.pem openssl req -new -x509 -nodes -days 365000 -key ca-key.pem -out ca-cert.pem # 生成服务器私钥和证书签名请求(CSR) openssl req -newkey rsa:2048 -nodes -days 365000 -keyout server-key.pem -out server-req.pem # 使用CA证书签署服务器证书 openssl x509 -req -days 365000 -set_serial 01 -in server-req.pem -out server-cert.pem -CA ca-cert.pem -CAkey ca-key.pem # 生成客户端私钥和证书签名请求(CSR) openssl req -newkey rsa:2048 -nodes -days 365000 -keyout client-key.pem -out client-req.pem # 使用CA证书签署客户端证书 openssl x509 -req -days 365000 -set_serial 01 -in client-req.pem -out client-cert.pem -CA ca-cert.pem -CAkey ca-key.pem

1.2 配置MariaDB/MySQL使用SSL

将生成的证书文件复制到合适的位置（如/etc/mysql/ssl/），然后在MySQL配置文件（my.cnf或my.ini）中添加以下配置：

[mysqld] ssl-ca = /etc/mysql/ssl/ca-cert.pem ssl-cert = /etc/mysql/ssl/server-cert.pem ssl-key = /etc/mysql/ssl/server-key.pem

对于MariaDB 10.6和MySQL 8.0，还需要确保在配置文件中启用了SSL功能：

[mysqld] require_secure_transport = ON

重启数据库服务使配置生效：

sudo systemctl restart mysql # 或者 sudo systemctl restart mariadb

1.3 创建要求SSL连接的数据库用户

为WordPress创建一个专用的数据库用户，并要求该用户只能通过SSL连接：

CREATE DATABASE wordpress_db; CREATE USER 'wordpress_user'@'%' IDENTIFIED BY '你的强密码'; GRANT ALL PRIVILEGES ON wordpress_db.* TO 'wordpress_user'@'%' REQUIRE SSL; FLUSH PRIVILEGES;

1.4 验证数据库SSL配置

使用以下命令检查数据库是否已正确启用SSL：

SHOW VARIABLES LIKE '%ssl%'; SHOW VARIABLES LIKE 'require_secure_transport';

如果配置成功，have_ssl变量应该显示为”YES”。

第二步：WordPress端的SSL配置

2.1 传输证书文件到WordPress服务器

将之前生成的以下文件复制到WordPress服务器上的安全目录（如/wp-content/ssl/）：

ca-cert.pem
client-cert.pem
client-key.pem

确保这些文件权限设置正确，防止未授权访问：

chmod 600 /path/to/wordpress/wp-content/ssl/* chown www-data:www-data /path/to/wordpress/wp-content/ssl/*

2.2 修改WordPress配置文件

编辑WordPress根目录下的wp-config.php文件，在MySQL设置部分后添加以下配置：

// 启用SSL数据库连接 define('MYSQL_CLIENT_FLAGS', MYSQLI_CLIENT_SSL); // 指定SSL证书路径 define('MYSQL_SSL_CA', ABSPATH . 'wp-content/ssl/ca-cert.pem'); define('MYSQL_SSL_CERT', ABSPATH . 'wp-content/ssl/client-cert.pem'); define('MYSQL_SSL_KEY', ABSPATH . 'wp-content/ssl/client-key.pem'); // 定义数据库主机时指定SSL参数 define('DB_HOST', 'mysql.example.com:3306?sslca=' . MYSQL_SSL_CA . '&sslcert=' . MYSQL_SSL_CERT . '&sslkey=' . MYSQL_SSL_KEY);

注意：在某些情况下，WordPress可能不会直接使用这些常量，你可能需要手动修改wp-includes/wp-db.php文件中的数据库连接逻辑（不建议这样做，因为更新WordPress时会覆盖修改）。

2.3 测试WordPress到数据库的连接

创建一个简单的测试脚本来验证SSL连接是否正常工作：

<?php $mysqli = mysqli_init(); mysqli_ssl_set($mysqli, '/path/to/client-key.pem', '/path/to/client-cert.pem', '/path/to/ca-cert.pem', NULL, NULL); mysqli_real_connect($mysqli, '你的数据库主机', 'wordpress_user', '你的密码', 'wordpress_db', 3306, NULL, MYSQLI_CLIENT_SSL); if (mysqli_connect_errno()) { die('SSL连接失败: ' . mysqli_connect_error()); } else { echo 'SSL连接成功！使用的密码: ' . mysqli_get_ssl_cipher($mysqli); } mysqli_close($mysqli); ?>

第三步：Web服务器配置（Nginx/OpenLiteSpeed）

3.1 Nginx配置调整

如果你的WordPress使用Nginx作为Web服务器，可能需要调整配置以确保不会干扰数据库SSL连接。这主要影响WordPress与数据库通信的PHP处理器：

server { listen 80; server_name yourdomain.com; root /path/to/wordpress; index index.php index.html index.htm; location / { try_files $uri $uri/ /index.php?$args; } location ~ \.php$ { include snippets/fastcgi-php.conf; fastcgi_pass unix:/var/run/php/php8.0-fpm.sock; # 确保PHP处理器可以访问SSL证书 fastcgi_param SSL_CERT_DIR /path/to/wordpress/wp-content/ssl; } }

3.2 OpenLiteSpeed配置调整

对于OpenLiteSpeed服务器，你需要确保LSPHP可以访问SSL证书文件：

通过管理界面（通常为7080端口）登录OpenLiteSpeed管理员
转到”Configuration” > “Server” > “External App”
找到你的LSPHP配置，并设置环境变量：
- SSL_CERT_FILE = /path/to/wordpress/wp-content/ssl/ca-cert.pem
重启OpenLiteSpeed服务

第四步：测试与故障排除

4.1 验证SSL连接

在数据库服务器上，检查当前连接是否使用SSL：

SELECT user, host, ssl_type, ssl_cipher FROM mysql.user WHERE user = 'wordpress_user';

查看活跃连接的状态：

SHOW PROCESSLIST;

你也可以使用MySQL客户端测试SSL连接：

mysql -u wordpress_user -p --ssl-ca=/path/to/ca-cert.pem --ssl-cert=/path/to/client-cert.pem --ssl-key=/path/to/client-key.pem -h 你的数据库主机

4.2 常见问题及解决方案

SSL连接错误：确保证书路径正确且文件权限设置适当
数据库用户没有要求SSL：检查用户权限，确保使用了REQUIRE SSL选项
证书过期：自签名证书通常有有效期，需要定期更新
Web服务器无法访问证书文件：检查Web服务器进程用户对证书文件的读取权限
性能开销：SSL加密会增加少量CPU开销，但对于大多数WordPress网站来说可以忽略不计

总结

为WordPress和MariaDB 10.6/MySQL 8.0之间的通信配置双向SSL加密确实需要一些技术工作，但为网站数据安全带来的好处是值得的。这种配置确保了即使攻击者拦截了数据库通信，也无法解密内容或伪装成合法客户端。

记住，安全不是一个产品，而是一个过程。双向SSL加密只是深度防御策略的一部分，还应定期更新证书、监控数据库访问日志以及保持软件最新状态。

你有过配置数据库SSL加密的经历吗？遇到过哪些挑战？欢迎分享你的经验！