MySQL启动时通过--user指定运行用户（如mysql），限制系统权限；使用--bind-address或--skip-networking控制网络访问，禁止远程连接；通过--skip-grant-tables启用免认证模式（需谨慎）；设置--secure-file-priv限制文件操作路径；生产环境应将参数写入my.cnf统一管理，结合操作系统权限与防火墙提升安全性。
MySQL 启动时的权限控制主要依赖于配置文件和启动参数，尤其是与用户、访问权限及安全相关的设置。直接通过启动命令配置权限控制，核心在于指定运行用户、绑定地址、禁用远程登录或启用安全模式等操作。以下是关键参数和配置说明。
1. 使用特定系统用户启动 MySQL
为增强安全性，应避免使用 root 系统用户启动 MySQL 服务。推荐创建专用用户（如 mysql），并在启动时以该用户运行进程。
--user 参数用于指定 MySQL 服务运行的操作系统用户。示例命令：
- mysqld --user=mysql：以 mysql 用户身份启动 mysqld 进程，防止数据库服务拥有过高系统权限。
确保系统中已存在该用户：
- groupadd mysql
- useradd -r -g mysql mysql
2. 控制网络访问权限
通过启动参数限制 MySQL 的网络暴露范围，防止未授权访问。
--bind-address：指定 MySQL 监听的 IP 地址。- mysqld --bind-address=127.0.0.1：仅允许本地连接，禁止外部网络访问。
- 设为具体内网 IP（如 192.168.1.10）可限制仅内网访问。
- 设为 0.0.0.0 表示监听所有接口（默认不推荐）。
--skip-networking：完全禁用 TCP/IP 网络连接。
- 启用后，只能通过本地 socket 文件连接，适用于纯本地应用环境。
- 命令示例：mysqld --skip-networking
3. 启动时启用安全模式
在维护或初始化阶段，可通过安全模式限制权限行为。
--skip-grant-tables：跳过权限表验证，允许免密码登录。
- 常用于忘记 root 密码时的紧急修复。
- 但极度危险，启动后所有用户无需认证即可访问所有数据库，必须配合 --skip-networking 使用，并尽快重置密码。
--secure-file-priv：限制数据导入导出路径。
- 可在配置文件中设置，也可在启动时指定：mysqld --secure-file-priv=/var/lib/mysql-files
- 设为目录则只允许从该目录读写；设为 NULL 则禁止 LOAD DATA 和 SELECT ... INTO OUTFILE 操作。
4. 配合配置文件统一管理权限参数
虽然可通过命令行传参，但生产环境建议将权限相关设置写入 my.cnf 配置文件，避免命令遗漏。
常见配置项（位于 [mysqld] 段）：
- user = mysql
- bind-address = 127.0.0.1
- skip-networking = 0 # 或注释掉，按需开启
- secure-file-priv = /var/lib/mysql-files
修改后重启服务生效：
- systemctl restart mysqld
基本上就这些。合理使用启动参数能有效控制 MySQL 的权限边界，关键是限制运行用户、网络访问和敏感操作权限。安全配置应结合操作系统权限、防火墙规则一起部署。
