答案：防止MySQL越权需遵循最小权限、账户隔离与访问控制。1. 为应用创建独立账号，仅授必要权限，避免使用root；2. 限制用户登录来源IP，禁用%通配符；3. 实施强密码策略并定期过期；4. 启用SSL加密传输；5. 开启审计日志监控异常行为。持续审查权限与配置，强化全过程安全管理。
防止MySQL数据库越权访问，关键在于权限最小化、账户隔离和访问控制。以下是一些实用的措施，帮助你提升数据库安全性。
1. 使用最小权限原则分配用户权限
为每个应用或用户创建独立的数据库账号，并仅授予其完成任务所需的最低权限。
- 避免使用root账户连接应用程序，应创建专用账号
- 例如，只读应用只需赋予
SELECT权限：GRANT SELECT ON db_name.* TO 'app_user'@'host'; - 定期审查权限，撤销不再需要的权限：
REVOKE DELETE ON db_name.table FROM 'user'@'host';
2. 限制登录主机来源
通过限定用户只能从指定IP或内网主机连接，降低被远程攻击的风险。
- 创建用户时明确指定来源：
CREATE USER 'admin'@'192.168.1.100' IDENTIFIED BY 'strong_password'; - 避免使用
'user'@'%'这种任意主机的配置，除非有明确需求
3. 强化密码策略与账户管理
弱密码是越权访问的常见突破口。
- 设置强密码，长度不少于12位，包含大小写字母、数字和特殊字符
- 启用密码过期策略：
ALTER USER 'user'@'host' PASSWORD EXPIRE INTERVAL 90 DAY; - 禁用或删除无用账户，如默认的匿名用户
4. 启用SSL加密连接
防止用户名密码和数据在传输过程中被窃听。
- 配置MySQL服务器支持SSL
- 强制特定用户使用SSL连接：
GRANT ... REQUIRE SSL; - 客户端连接时使用
--ssl-mode=REQUIRED
5. 定期审计与监控
及时发现异常行为是防止越权的最后一道防线。
- 开启通用日志或审计插件（如MariaDB Audit Plugin）记录操作
- 监控频繁失败登录、非工作时间访问等可疑行为
- 定期导出并分析
mysql.user表中的权限配置
基本上就这些。只要坚持权限分离、源头控制和持续监控，就能有效避免大多数越权风险。安全不是一次配置，而是持续的过程。
