MySQL 安全防護 23 條鐵律：密碼、授權、網路、審計、參數配置全方位加固

網路與傳輸安全

1. 跨非信任網路連線必須用 SSH 隧道或 SSL 加密。
2. 防火牆限制 3306 埠僅對應用伺服器開放，拒絕公網存取。
3. 使用 nmap -p 3306 或 telnet host 3306 定期掃描驗證。

帳號與密碼管理

4. 僅 root 可存取 mysql.user 表，其他帳號嚴禁。
5. 密碼儲存使用單向雜湊（MySQL 內建 PASSWORD() / SHA2()），禁止明文。
6. 密碼策略：長度≥12、大小寫數字特殊字元、定期輪換、禁用字典字。
7. 應用程式使用最小權限帳號，禁止 root 直連業務。

授權與權限控制

8. 使用 GRANT/REVOKE 精確授權至庫/表/欄位層級。
9. 嚴禁授予 PROCESS/SUPER/FILE 權限給非管理帳號。
10. FILE 權限可導致 LOAD DATA INFILE '/etc/passwd' 敏感檔案讀取。
11. 啟用 --skip-show-databases 隱藏庫列表。

輸入驗證與注入防護

12. 所有使用者輸入經參數化查詢（Prepared Statement）處理，拼接 SQL 絕對禁止。
13. Web 表單對特殊字元（引號、分號、註解符）進行轉義或過濾。
14. 動態 URL 參數嚴格型別驗證（數字、日期、列舉值）。
15. 傳遞給 MySQL 前檢查資料長度、格式、範圍。

作業系統與檔案層面

16. MySQL 進程以專用低權限帳號（mysql）啟動，禁止 root。
17. 資料目錄 /var/lib/mysql 僅 mysql 帳號可讀寫（chown mysql:mysql、chmod 750）。
18. 啟動參數 --skip-symbolic-links 禁用符號連結攻擊。
19. DNS 不可信時，授權表 Host 欄位僅填 IP，不填主機名。

連線與資源限制

20. 設定 max_user_connections 限制單帳號並發連線數。
21. GRANT 支援 MAX_QUERIES_PER_HOUR、MAX_CONNECTIONS_PER_HOUR 等資源配額。
22. 本地載入檔案控制：--local-infile=0 禁用 LOAD DATA LOCAL。

緊急修復

23. 遭遇 ERROR 1045 Access denied：
    mysqld_safe --skip-grant-tables &
mysql -u root mysql -e "UPDATE user SET authentication_string=PASSWORD('new') WHERE User='root'; FLUSH PRIVILEGES;"
    重啟服務生效。

審計與監控建議

• 啟用 log_bin、slow_query_log、log-queries-not-using-indexes。
• 定期審核 mysql.user、mysql.db、mysql.tables_priv 異常授權。
• 部署審計外掛（MariaDB Audit Plugin、MySQL Enterprise Audit）。