MySQL 核心數據安全防護六大實戰策略

備份防災不等於防盜。保護核心數據免受未授權訪問，需從權限、認證、傳輸、網絡、審計五個維度構建纵深防禦。

六大防護策略

1. 清理授權表通配符
   SHOW GRANTS FOR 'user'@'%'; 掃描含 %、_ 通配符的賬號，改為具體 IP/主機名。嚴控 SUPER、FILE、PROCESS 等高危權限。
2. 強制複雜密碼策略
   啟用 validate_password 插件（5.6.6+），設置長度≥12、混合大小寫數字符號、禁用字典詞。避免默認空密碼 root。
3. 保護配置文件權限
   my.cnf / .my.cnf 存儲明文密碼，權限設置 600，擁有者為運行用戶，放置於非公開目錄（如 ~/.my.cnf）。
4. 加密傳輸通道
   啟用 SSL：require_secure_transport=ON，配置 ssl-ca/ssl-cert/ssl-key。或 SSH 隧道：ssh -L 3307:localhost:3306 user@dbhost。
5. 禁止不必要的遠程訪問
   bind-address=127.0.0.1 僅監聽本地；或防火牆僅放行應用服務器 IP 訪問 3306。skip-networking 完全禁用 TCP/IP（僅本地 Socket）。
6. 持續審計訪問日志
   啟用通用日志 general_log=ON、慢查詢日志，定期分析異常連接、非常用時間訪問、高頻失敗登錄。配合 audit_log 插件做精細審計。

持續運營建議

• 每季度執行權限收回演練，最小化授權面。
• 密碼輪換機制：核心賬號 90 天強制輪換。
• 訂閱 MySQL 安全公告，及時打補丁（如 CVE-2023-xxxx）。