SQL数据安全需从访问控制、数据加密、行为审计、漏洞治理四维度协同防护：精细化列/行级权限管控，全链路静态/传输/内存加密，全量SQL审计与实时异常识别，持续漏洞扫描与安全配置治理。
SQL 数据安全防护不能只靠单一手段，必须从访问控制、数据加密、行为审计、漏洞治理四个维度协同发力，才能真正守住数据底线。
精细化访问控制：谁能在什么时间、用什么方式查哪些数据
权限粒度要落到列和行级别，避免“一权到底”。比如财务人员只能查本部门工资字段，销售员只能看自己签约客户的订单金额。通过数据库原生的 RBAC（基于角色的访问控制）或动态数据脱敏（DMD）配合策略，实时过滤敏感字段。建议定期清理离职人员账号，禁用长期未登录的高权限账户，并将应用连接池统一配置为最小必要权限账号，而非 DBA 账号直连。
全链路数据加密：静态、传输、内存一个都不能少
静态数据用 TDE（透明数据加密）保护磁盘文件，避免备份文件泄露即等于数据失守；传输层强制 TLS 1.2+ 加密，禁用明文协议如 MySQL 的 old_password 认证；内存中敏感字段（如身份证、手机号）在应用层做字段级加密后再入库，防止数据库进程被注入后直接读取明文。注意密钥必须独立于数据库存储，推荐使用 KMS 或硬件加密机托管。
全量 SQL 行为审计与异常识别
开启数据库原生审计日志（如 MySQL general_log + slow_query_log 组合，或 PostgreSQL pg_audit），或部署轻量代理（如 ProxySQL、ShardingSphere-Proxy）统一捕获所有 SQL 流量。重点监控高频失败登录、非工作时间大批量 SELECT *、短时间大量 DELETE/UPDATE、跨库跨表关联查询等风险模式。用规则引擎（如 Drools）或简单时序统计（如 5 分钟内同一 IP 执行超 50 条 DML）实现实时告警，不依赖事后人工翻日志。
持续化漏洞与配置治理
数据库版本、中间件驱动、JDBC 连接参数都存在已知风险点（如 MySQL 8.0.33 以下存在认证绕过，Log4j 影响部分 JDBC 日志组件）。建立资产台账，自动扫描弱口令（如 root/123456）、默认端口暴露、未启用 SSL、无密码账号等高危配置。每次上线前执行 SQL 安全检查清单：参数化查询是否全覆盖、LIKE 模糊查询是否加 ESCAPE、ORDER BY 是否白名单校验、错误信息是否关闭详细堆栈返回。
不复杂但容易忽略。
