一、获取SSL证书文件
Windows用户操作步骤：
首先，你需要从服务器上把几个关键的证书文件下载到本地。具体操作如下：
- 打开你的PowerShell窗口。
- 依次执行下面三条命令，它们的作用是将服务器上已生成好的证书文件复制到本地的
D:\certs目录下（如果目录不存在，记得先创建）。
scp root@服务器IP:/etc/mysql-ssl/ca.pem D:\certs scp root@服务器IP:/etc/mysql-ssl/server-cert.pem D:\certs scp root@服务器IP:/etc/mysql-ssl/server-key.pem D:\certs
执行完毕后，检查一下D:\certs文件夹，应该能看到这三个.pem文件。
二、转换证书格式
操作步骤：
拿到.pem文件后，下一步是为Ja va环境准备它认识的证书格式。这里我们需要用到keytool工具。
- 打开命令提示符(cmd)，切换到存放证书的目录，比如
D:\certs。 - 首先生成信任证书库，这个库用来存放你信任的CA证书：
keytool -importcert -alias Cacert -file ca.pem -keystore mysql-truststore -storepass 你的密码
- 接着，我们需要一个PKCS12格式的密钥库。可以通过转换上一步生成的信任库来得到：
keytool -importkeystore -srckeystore mysql-truststore -destkeystore mysql-keystore -deststoretype pkcs12
注意：执行第二条命令后，系统会提示你为新的密钥库设置一个密码，记得妥善保管。
三、放置证书文件
格式转换完成后，你会得到两个新文件：
mysql-truststore（信任证书库）mysql-keystore（密钥库）
接下来，把这两个文件放到你的Spring Boot项目里。通常的做法是直接放入项目的src/main/resources文件夹下，这样编译时会自动打包进类路径。
四、建立安全连接通道
执行命令：
为了安全起见，我们通常不会让数据库服务直接暴露在公网上。一个常见的做法是通过SSH隧道来建立连接。执行下面这条命令：
ssh -N -L 63306:127.0.0.1:3306 root@服务器IP
这条命令是什么意思呢？它会在本地打开63306端口，并将所有发往这个端口的流量，通过加密的SSH隧道，转发到服务器本地的3306端口（即MySQL服务端口）。这样一来，你的应用程序连接本地的63306，就等于在安全地访问远程数据库。
需要说明的是，这里假设你在部署MySQL Docker容器时，已经限制了它只能通过服务器本机（127.0.0.1）连接，这是加强安全的好习惯。如果没有做此限制，命令中的目标地址也可以换成服务器的公网IP。
五、配置Spring Boot
最后一步，就是在Spring Boot的配置文件中，告诉它如何使用SSL证书去连接数据库。打开你的application.yml文件，添加如下配置：
spring:
datasource:
url: jdbc:mysql://127.0.0.1:63306/数据库名?useSSL=true&
trustCertificateKeyStoreUrl=file:证书路径&
trustCertificateKeyStorePassword=你的密码&
clientCertificateKeyStoreUrl=file:证书路径&
clientCertificateKeyStorePassword=你的密码
username: 数据库用户名
password: 数据库密码
几个关键点务必注意：
useSSL=true这个参数是必须的，它开启了JDBC驱动的SSL加密功能。- 配置中的两个
file:证书路径需要替换成mysql-keystore文件在你项目中的绝对路径。 - 两个
KeyStorePassword要与你生成密钥库时设置的密码保持一致。 - 关于路径，举个例子，如果你的文件放在资源目录下的
mysql-ssl文件夹里，路径应该像这样：
clientCertificateKeyStoreUrl=file:B:\你的项目路径\src\main\resources\mysql-ssl\mysql-keystore
完成以上所有步骤并启动应用，你的Spring Boot服务就已经通过加密的SSL通道与MySQL数据库安全握手了。整个过程虽然步骤不少，但一步步走下来，安全性得到了实实在在的提升。
