答案：通过系统防火墙限制IP访问、配置最小权限用户、启用MySQL企业防火墙或使用ProxySQL等第三方工具，可构建多层次MySQL安全防护体系。
MySQL 本身不提供内置的“数据库防火墙”功能，但可以通过多种方式实现类似防火墙的安全控制，限制非法访问、防止 SQL 注入和未授权操作。要实现 MySQL 数据库的防火墙效果，需结合网络层、数据库用户权限、SQL 过滤以及第三方工具来配置。
1. 利用操作系统防火墙限制访问
通过系统防火墙（如 Linux 的 iptables 或 firewalld）仅允许可信 IP 访问 MySQL 服务端口（默认 3306）。
- 只允许特定 IP 或网段连接数据库，例如：
iptables 示例：
iptables -A INPUT -p tcp -s 192.168.1.100 --dport 3306 -j ACCEPT
iptables -A INPUT -p tcp --dport 3306 -j DROP
- 使用 firewalld（CentOS/RHEL）：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="3306" accept'
firewall-cmd --reload
2. 配置 MySQL 用户权限最小化
合理设置用户权限是“逻辑防火墙”的关键，避免使用 root 远程登录。
- 为每个应用创建专用账户，并限制其访问主机：
CREATE USER 'app_user'@'192.168.1.50' IDENTIFIED BY 'StrongPassword123!';
GRANT SELECT, INSERT, UPDATE ON app_db.* TO 'app_user'@'192.168.1.50';
- 禁止任意主机登录（%）或限制具体 IP：
- 定期审查用户列表：SELECT User, Host FROM mysql.user;
3. 启用 MySQL 企业防火墙（MySQL Enterprise Firewall）
MySQL 企业版提供“Enterprise Firewall”插件，可拦截异常 SQL 请求，防御 SQL 注入。
- 安装插件：
INSTALL PLUGIN mysql_firewall SONAME 'mysql_firewall.so';
- 将当前合法查询加入白名单（学习模式）：
SELECT mysql_firewall_flush_status();
SET SESSION mysql_firewall_mode = 'PROTECTING';
- 启用后，非白名单 SQL 将被阻止。
4. 使用第三方数据库防火墙工具
若使用社区版 MySQL，可通过外部工具实现高级防护：
- Percona Server + ProxySQL：利用 ProxySQL 实现 SQL 过滤、访问控制和审计。
- MaxScale：MariaDB 提供的数据库代理，支持防火墙规则、语句过滤。
- 云数据库自带防火墙：如阿里云 RDS、AWS RDS 提供安全组和数据库防火墙策略。
基本上就这些。通过系统防火墙 + 用户权限控制 +（可选）企业防火墙或代理工具，可以构建完整的 MySQL 防护体系。关键是限制访问源、最小权限原则和监控异常 SQL 行为。
