为 root 用户设置强密码并创建最小权限的专用用户；2. 禁止 root 远程登录，删除 'root'@'%' 账户并通过 ssh 隧道管理；3. 修改配置文件 bind-address = 127.0.0.1 限制网络监听；4. 使用防火墙（如 ufw）限制访问源 ip；5. 定期更新 mysql 版本并打安全补丁；6. 启用通用日志或审计插件进行行为审计；7. 配置 ssl/tls 加密连接并强制用户使用；8. 删除匿名用户和测试数据库，配置 skip-test-db；9. 遵循最小权限原则，避免授予高危权限；10. 定期加密备份数据并测试恢复流程，持续监控与审查权限以保障数据库安全。
配置 MySQL 数据库的安全性是保障数据完整性和防止未授权访问的关键步骤。以下是一些实用且必要的安全配置建议，适用于大多数生产环境。
1. 修改默认管理员账户和密码
MySQL 安装后默认有一个
root用户，通常没有密码或使用弱密码，这是常见的攻击入口。
建议做法：
- 立即为
root
用户设置强密码：ALTER USER 'root'@'localhost' IDENTIFIED BY 'YourStrongPassword123!'; FLUSH PRIVILEGES;
- 避免在生产环境中使用
root
账户进行日常操作。 - 创建具有最小权限的专用用户用于应用程序连接：
CREATE USER 'appuser'@'localhost' IDENTIFIED BY 'StrongPassword!'; GRANT SELECT, INSERT, UPDATE ON yourdb.* TO 'appuser'@'localhost';
2. 禁止远程 root 登录
默认情况下，
root用户可能允许从任意主机登录（如
'root'@'%'），这极大增加了被暴力破解的风险。
安全措施：
- 仅允许
root
从本地登录：-- 删除远程 root 用户 DROP USER 'root'@'%'; DROP USER 'root'@'::1'; -- IPv6
- 如果必须远程管理，使用 SSH 隧道连接，而不是开放 MySQL 的 3306 端口到公网。
3. 关闭不必要的网络暴露
MySQL 默认监听 3306 端口。如果数据库仅本地使用，应禁止网络监听。
修改配置文件（通常是 /etc/mysql/mysql.conf.d/mysqld.cnf
或 /etc/my.cnf
）：
[mysqld] bind-address = 127.0.0.1
这表示只接受来自本机的连接。如需远程访问，应通过防火墙限制访问 IP，而不是开放给所有人。
4. 启用防火墙限制访问
即使 MySQL 开放了网络端口，也应通过系统防火墙控制访问源。
例如使用 ufw
（Ubuntu）：
# 只允许特定 IP 访问 MySQL sudo ufw allow from 192.168.1.100 to any port 3306 # 或者只允许本地访问 sudo ufw deny 3306
5. 定期更新和打补丁
MySQL 社区和官方会定期发布安全补丁。使用过时版本可能面临已知漏洞的攻击。
建议：
- 使用官方发行版或受支持的发行版（如 Percona Server、MySQL Community Server）。
- 定期检查并升级到稳定版本。
- 订阅 MySQL 安全公告邮件。
6. 启用日志审计（可选但推荐）
记录登录尝试和查询行为有助于事后审计和入侵检测。
Difeye是一款超轻量级PHP框架，主要特点有： Difeye是一款超轻量级PHP框架，主要特点有： ◆数据库连接做自动主从读写分离配置，适合单机和分布式站点部署； ◆支持Smarty模板机制，可灵活配置第三方缓存组件； ◆完全分离页面和动作，仿C#页面加载自动执行Page_Load入口函数； ◆支持mysql，mongodb等第三方数据库模块，支持读写分离，分布式部署； ◆增加后台管理开发示例
配置：
[mysqld] general_log = ON general_log_file = /var/log/mysql/query.log # 或启用更细粒度的审计插件（如 MySQL Enterprise Audit 或 MariaDB Audit Plugin）
注意：开启通用日志会影响性能，建议在调试或高安全需求时使用。
7. 使用加密连接（SSL/TLS）
防止数据在传输过程中被窃听，特别是跨公网的连接。
启用 SSL：
- 检查是否支持 SSL：
SHOW VARIABLES LIKE '%ssl%';
- 配置 MySQL 服务器使用 SSL 证书。
- 强制用户使用加密连接：
GRANT ... REQUIRE SSL;
8. 删除匿名用户和测试数据库
安装时可能创建了匿名账户和
test数据库，这些是常见攻击目标。
清理命令：
-- 删除匿名用户 DROP USER ''@'localhost'; DROP USER ''@'%'; -- 删除测试数据库 DROP DATABASE IF EXISTS test;
同时在配置文件中添加：
[mysqld] skip-test-db
9. 限制数据库用户权限
遵循最小权限原则，避免授予
GRANT ALL或
FILE、
SUPER等高危权限。
避免：
GRANT ALL PRIVILEGES ON *.* TO 'user'@'%';
推荐：
GRANT SELECT, INSERT, UPDATE ON appdb.* TO 'appuser'@'localhost';
10. 定期备份并保护备份文件
即使数据库本身安全，没有备份也可能因勒索攻击或误删导致数据丢失。
建议：
- 使用
mysqldump
或物理备份工具定期备份。 - 加密备份文件并离线存储。
- 测试恢复流程。
基本上就这些核心措施。MySQL 安全不是一劳永逸的，需要持续监控、更新和审查权限。不复杂，但容易忽略细节。
