作者：陈俊聪
任职于中移信息基础平台部数据库组，负责 MySQL 数据库运维工作。
本文来源：原创投稿
*爱可生开源社区出品，原创内容未经授权不得随意使用，转载请联系小编并注明来源。
引言
注意不是 bug，后面会详细说明！
一、现象
2020-05-05T22:10:57.976402+08:00 2 [Note] Bad handshake
useSSL=true，改为 useSSL=false 后解决了。二、分析
spring.datasource.url=jdbc:mysql://192.168.199.198:3307/springbootdb?useUnicode=true&useSSL=true&characterEncoding=utf8
5.7.27 版本
mysql> select @@version;
+------------+
| @@version |
+------------+
| 5.7.27-log |
+------------+
1 row in set (0.00 sec)
mysql> show variables like '%ssl%';
+---------------+----------+
| Variable_name | Value |
+---------------+----------+
| have_openssl | DISABLED |
| have_ssl | DISABLED |
| ssl_ca | |
| ssl_capath | |
| ssl_cert | |
| ssl_cipher | |
| ssl_crl | |
| ssl_crlpath | |
| ssl_key | |
+---------------+----------+
9 rows in set (0.00 sec)
2. 应用页面正常
3. tomcat 日志正常
[root@fander ~]# tcpdump -i ens33 port 3307 -l -s 0 -w - | strings
tcpdump: listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
^rY
^,]
select
id, province_id, city_name, description
from city
5. mysql err log 正常
useSSL=true，并不会有问题，因为数据库不支持 SSL，所以连接实际上并不会使用到 SSL，一切正常。5.7.28 版本
mysql> show variables like '%ssl%';
+---------------+-----------------+
| Variable_name | Value |
+---------------+-----------------+
| have_openssl | YES |
| have_ssl | YES |
| ssl_ca | ca.pem |
| ssl_capath | |
| ssl_cert | server-cert.pem |
| ssl_cipher | |
| ssl_crl | |
| ssl_crlpath | |
| ssl_key | server-key.pem |
+---------------+-----------------+
9 rows in set (0.00 sec)
2. 应用页面异常
3. tomcat 日志异常
上面日志，能看出是 SSL 相关异常。
并且能发现一个关键的报错，是握手异常，并且有证书相关的报错。
Caused by: javax.net.ssl.SSLHandshakeException: java.security.cert.CertPathValidatorException: Path does not chain with any of the trust anchors
后面我证实了，jdbc 连接要求 SSL 和 证书认证要一起使用。
[root@fander ~]# tcpdump -i ens33 port 3307 -l -s 0 -w - | strings
tcpdump: listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
@8q=*
8q=+P
@8q=+
5.7.30-log
=LQIKF7
mysql_native_password
8q=}P
@8q=}
B 8q=}P
@8q=}
@8q=}
0<1:08
1MySQL_Server_5.7.30_Auto_Generated_CA_Certificate0
200506110938Z
300504110938Z0@1>0<
5MySQL_Server_5.7.30_Auto_Generated_Server_Certificate0
2nh
=zFx
3[x=
o(*c0
Ty5B
0A,IY
-{u6
0<1:08
1MySQL_Server_5.7.30_Auto_Generated_CA_Certificate0
200506110938Z
300504110938Z0<1:08
1MySQL_Server_5.7.30_Auto_Generated_CA_Certificate0
>*[]dG
^!!$
y[(j
kh(nPjd
VU{h
MMojb
U38P
3.^Z
2020-05-06T19:12:13.107321+08:00 2 [Note] Bad handshake
5.7.28 版本下，jdbc 连接串错误地配置了 useSSL=true，会有问题，因为数据库支持 SSL，所以连接实际上应用连接会真的去使用 SSL，但是因为证书问题，导致连接失败，造成了这次升级故障。
不加 useSSL 试试
有一些客户的连接串，是没有使用 useSSL 参数的。
useSSL=true，把连接串改为
spring.datasource.url=jdbc:mysql://192.168.199.198:3307/springbootdb?useUnicode=true&characterEncoding=utf8
不建议在未经服务器身份验证的情况下建立 SSL 连接。
根据 MySQL 5.5.45+、5.6.26+ 和 5.7.6+ 的要求，如果未设置显式选项，则默认情况下必须建立 SSL 连接。
为了符合不使用 SSL 的现有应用程序，verifyServerCertificate 属性设置为“false”。
您需要通过设置
useSSL=false显式禁用 SSL，或者设置
useSSL=true并为服务器证书验证提供 truststore。
测试得出了以下表格：
三、原因
useSSL=true。在 5.7.27 版本由于实际上不支持 SSL 连接，所以设置 useSSL 居然不会报错，而会降级使用非 SSL 连接；而在 5.7.28 版本，实际上支持了 SSL 连接，所以根据 jdbc 配置 useSSL=true，连接会真的采用 SSL，但应用服务器并没有为服务器证书验证提供 truststore 文件，所以报错了。
问题一：为什么 5.7.28 才支持 SSL？
翻阅官方文档 5.7.28 的 release notes，并没有发现新支持 SSL 的描述，所以应该原本也是支持 SSL 的。实际上的确如此，对于非 openssl 编译的 MySQL(5.7.27 及之前版本)，可以采用 Linux 自带的 openssl 和 MySQL 自带的工具 mysql_ssl_rsa_setup，来生成”SSL 密钥和证书文件”，以支持 SSL 连接。
注意：Only OpenSSL
以往 MySQL 社区版默认是使用 yassl 编译，企业版默认使用 openssl 编译，手动编译时可以选择 yassl 或 openssl。 目前仅支持 OpenSSL，yassl 被移除了，默认编译用的是 openssl，社区版和企业版支持并且只支持 openssl 作为其 SSL 库。 至于为什么要使用 openssl 替代 yassl，我们不展开讨论。
在 mysqld.cc 源码里可以看到相关的一些代码改动，
准确地说，是 5.7.28 才默认支持 SSL，之前版本需要手动使用工具 mysql_ssl_rsa_setup 来生成”SSL 密钥和证书文件”，以支持 SSL 连接。
ca-key.pem
ca.pem
client-cert.pem
client-key.pem
private_key.pem
public_key.pem
server-cert.pem
server-key.pem
mysql --verbose --help |less
--auto-generate-certs
Auto generate SSL certificates at server startup if --ssl
is set to ON and none of the other SSL system variables
are specified and certificate/key files are not present
in data directory.
(Defaults to on; use --skip-auto-generate-certs to disable.)
auto_generate_certs
sha256_password_auto_generate_rsa_keys
sha256_password_private_key_path
sha256_password_public_key_path
Rsa_public_key
所以 Only OpenSSL 这个新特性，实际上影响比官方文档写的要大，因为他实际上影响了 MySQL 参数！影响了 MySQL 默认开启了 SSL 的支持！
问题二：为什么降级回退 MySQL 没有解决问题？
MySQL 5.7.28 启动的时候，会自动生成这些”SSL 密钥和证书文件”，所以实际上开启了 SSL 支持。回退 MySQL 5.7.27 时，这些文件和元数据无关，mysql_upgrade 程序是不会帮你删除这些”SSL 密钥和证书文件”的，所以回退后，5.7.27 实际上也开启了 SSL 支持！这导致我那个错误配置 useSSL=true 但没有配置 truststore 文件的应用程序报错。
讨论解决办法
建议的解决办法
[mysqld]
skip_ssl
总结
文章分享了 jdbc 应该如何配置，并且分享了一起官方文档没有提及的”默认参数变化”引起的升级故障，建议大家升级之前测试一下，对比一下参数，不要过度依赖于官方 release notes 文档。