MySQL 資料安全六大防護實務：從授權表到審計日誌

企業核心資產多藏於資料庫，除自動備份外，防禦未授權存取需主動設定。MySQL 提供多項便利功能，可大幅降低風險。

1. 移除授權表通配符

避免使用 %、_ 等通配符授權，嚴格限定用戶、主機、資料庫、資料表、欄位權限。定期用 SHOW GRANTS 審查。

2. 強制安全密碼

• 安裝後立即設定 root 密碼（預設為空）。
• 所有帳號必須設密碼，禁用生日、字典字等弱密碼。
• 啟動 --secure-auth 禁用舊版不安全密碼格式。

3. 保護設定檔權限

選項檔（.my.cnf）存明文密碼，權限應設 0600，放置於用戶家目錄等非公開位置。

4. 加密客戶端-伺服器傳輸

• 啟用 MySQL SSL 支援。
• 或使用 SSH 通道（Port Forwarding）建立加密隧道。

5. 禁用遠端連線

• 啟動參數加 --skip-networking 僅允許 Unix Socket 連線。
• 或在 my.cnf 設 bind-address=127.0.0.1 綁定本地回環。

6. 主動監控審計日誌

啟用一般查詢日誌（--log），記錄每次連線/斷線與完整 SQL。疑似入侵時可追溯來源與操作。

持續經營

資料庫安全非一次性工作，需持續更新補丁、審核權限、分析日誌，建立纏繞式防禦體系。