MongoDB PHP 库 TLS 连接问题分析与解决方案

问题背景

在使用 MongoDB PHP 驱动（mongodb/mongo-php-library）1.19.1版本连接MongoDB Atlas集群时，开发人员遇到了TLS握手失败的问题。当从PHP 7.4和驱动版本1.4.2升级到PHP 8.3.7和驱动1.19.1后，原本正常工作的TLS连接开始出现证书验证失败的情况。

错误现象

连接尝试时出现以下错误信息：

No suitable servers found (serverSelectionTryOnce set): [TLS handshake failed: Failed certificate verification calling hello on 'xxx.mongodb.net:27017'] [TLS handshake failed: Failed certificate verification calling hello on 'xxx.mongodb.net:27017'] [TLS handshake failed: Failed certificate verification calling hello on 'xxx.mongodb.net:27017']

临时解决方案

开发人员发现可以通过设置以下选项临时解决问题：

$driverOptions = [
    'tlsAllowInvalidCertificates' => true,
    'tlsAllowInvalidHostnames' => true
];

但这会降低连接的安全性，不是理想的长期解决方案。

环境分析

问题环境为：

• PHP 8.3.7-fpm-alpine3.19
• AWS Linux2机器
• MongoDB PHP驱动1.19.1
• libmongoc 1.27.2
• libbson 1.27.2

根本原因

经过深入排查，发现问题根源在于Docker容器中使用的LibreSSL库。LibreSSL在某些情况下与MongoDB Atlas的TLS证书验证存在兼容性问题。

解决方案

1. 替换SSL库：将Docker容器中的LibreSSL替换为OpenSSL
2. 重建Docker镜像：确保新的镜像正确包含OpenSSL库
3. 验证连接：使用openssl s_client命令测试连接

openssl s_client -showcerts -connect xxx.xxx.mongodb.net:27017 < /dev/null

最佳实践建议

1. 保持SSL库更新：定期更新OpenSSL库以确保安全性
2. 避免禁用证书验证：除非在开发环境，否则不应使用tlsAllowInvalidCertificates选项
3. 环境一致性：确保开发、测试和生产环境使用相同的SSL库版本
4. 监控连接：实施连接监控以快速发现TLS相关问题

总结

TLS连接问题在升级MongoDB PHP驱动时较为常见，通常与底层SSL库的变更有关。通过将LibreSSL替换为OpenSSL，可以有效解决与MongoDB Atlas的TLS兼容性问题，同时保持连接的安全性。开发者在进行类似升级时，应特别注意SSL/TLS库的版本和兼容性。