trustCertificateKeyStoreUrl 与 clientCertificateKeyStoreUrl

Question

trustCertificateKeyStoreUrl和clientCertificateKeyStoreUrl之间有什么区别MySQL Connector/J？我什么时候应该提供其中之一？

AWS RDS我有一个与using连接的客户端应用程序SLL，我应该使用其中哪一个？

Answer 1

trustCertificateKeyStoreUrl用于服务器身份验证，clientCertificateKeyStoreUrl用于客户端身份验证。在 SSL 协商期间，服务器提供包含服务器公钥和由第三方证书颁发机构 (CA) 数字签名的校验和的证书。还有另一个连接属性verifyServerCertificate用于配置客户端是否应该验证服务器证书。如果您想在 SSL 协商期间验证应用程序的服务器证书，则应将verifyServerCertificate设置为 true 并提供一个包含客户端所有信任 CA 的信任库路径至trustCertificateKeyStoreUrl。如果服务器提供的证书由客户端的可信 CA 进行数字签名，则验证将成功，否则将失败。

clientCertificateKeyStoreUrl用于客户端身份验证。如果服务器端启用了客户端身份验证（您可以参考https://dev.mysql.com/doc/refman/8.0/en/create-user.html#create-user-tls文章了解如何启用客户端身份验证）然后在SSL协商期间，服务器将请求客户端的证书。如果客户端证书由服务器信任的 CA 进行数字签名，则身份验证将成功。

简而言之，当客户端想要验证服务器证书时，应提供 trustCertificateKeyStoreUrl；当服务器上启用了客户端验证并且服务器想要验证证书是否由可信 CA 签名时，应提供 clientCertificateKeyStoreUrl。