MySQL 安全防護指南：從連線加密到權限最小化的完整實務

核心原則：纏繞式防禦

資料庫安全非單一設定可達成，需從網路傳輸、認證授權、作業系統層面、審計監控四個維度疊加防護。

一、網路傳輸加密

• 預設行為：MySQL 4.1.1+ 密碼交換已加密，但後續資料傳輸為明文。
• 不可信網路：必須使用 SSH Tunnel 或 SSL/TLS 加密 TCP 連線。
  範例：ssh -L 3307:localhost:3306 user@db-host 將本地 3307 轉發至遠端 3306。
• 替代方案：啟用 --enable-compression 壓縮協定，增加解讀難度（非替代加密）。

二、帳號與認證鐵律

三、作業系統與檔案系統層面

1. 以非 root 執行 mysqld：建立專用 mysql 使用者，my.cnf 設定 [mysqld] user=mysql。
2. 關閉符號連結：--skip-symbolic-links 防止任意檔案讀寫（特別是 root 執行時）。
3. 資料目錄權限收斂：chown -R mysql:mysql /var/lib/mysql; chmod 750 /var/lib/mysql。
4. 禁用不必要的編譯功能：源碼安裝時 -DWITHOUT_... 精簡攻擊面。

四、權限最小化與高危權限管控

五、網路與主機名稱防禦

• 授權表使用 IP 而非主機名：避免 DNS 劫持或解析汙染。
• 拒絕萬用字元主機名：%、192.168.% 易造成非預期存取。
• 連線數限制：max_user_connections 防單一帳號佔滿連線池。

六、審計與監控

• 啟用 log_error、log_bin、slow_query_log。
• 部署 MariaDB Audit Plugin 或 MySQL Enterprise Audit 記錄 DML/DDL/登入登出。
• 整合 SIEM（Splunk、ELK）即時告警異常模式（大量失敗登入、異常時間段 DDL、大量資料匯出）。

七、快速自檢清單

# 1. 確認無匿名帳號
SELECT User,Host FROM mysql.user WHERE User='';
# 2. 確認 root 僅限本機
SELECT User,Host FROM mysql.user WHERE User='root';
# 3. 確認無過度授權
SHOW GRANTS FOR 'app_user'@'%';
# 4. 確認 SSL 強制
SHOW VARIABLES LIKE 'have_ssl';
# 5. 確認 secure_file_priv
SHOW VARIABLES LIKE 'secure_file_priv';

安全是持續過程，而非一次性配置。建議每季執行滲透測試與權限複核，配合變更管理流程，將風險控制在可接受範圍。

1. 上一篇文章： MySQL Cluster 雙複寫通道架構實作：高可用與冗余設計全攻略
2. 下一篇文章： 單機多實例實戰：mysqld_multi 部署 MySQL 5.0 雙實例（3306/3307）完整手冊

MySQL 資料庫相關知識

MySQL SHOW TABLE STATUS 詳解：18 個關鍵指標解讀與實戰應用

基本語法 SHOW TABLE STATUS;

MySQL 資料類型系統基礎：明確類型 vs 隱含類型、表定義與運算式中的類型推導

資料類型無處不在 資料庫管理系統核心使命是管理資料。即使 S

SQLiteStudio 使用全攻略：SQL Server 遷移 SQLite、可視化管理、數據導入導出

SQLiteStudio 是跨平台開源 SQLite 可視化

MySQL UNION 與 ORDER BY 共用避坑指南：括號、子查詢與去重陷阱

前言：UNION + ORDER BY 為何總報錯？ UNI