您现在的位置：程式碼之家 >> 數據庫知識 > >> MySQL 資料庫 >> MySQL 資料庫相關知識

MySQL 數據庫安全防禦體系全解析：賬號、SSL 與加密存儲

編輯：MySQL 資料庫相關知識

網絡化時代的數據庫安全挑戰

隨著網絡應用普及，數據庫作為核心資產承載者，面臨著數據傳輸攔截、非授權訪問、權限提升等多重威脅。MySQL 作為最流行的開源數據庫，提供了多層次的安全機制。本文系統梳理賬號認證、權限模型、SSL 加密傳輸、授權表結構、敏感數據哈希存儲等核心防禦體系。

一、賬號安全：基於「用戶+主機+密碼」的三元認證模型

MySQL 賬號由 用戶名、密碼、來源主機 三元組唯一標識。同一用戶名從不同主機連接，可擁有完全不同的權限與密碼。

實例：同用戶不同庫不同密碼

GRANT SELECT ON db1.* TO 'abc'@'server1' IDENTIFIED BY 'pwd1';
GRANT SELECT ON db2.* TO 'abc'@'server1' IDENTIFIED BY 'pwd2';

用戶 abc 訪問 db1 用 pwd1，訪問 db2 用 pwd2。這實現了「最小權限原則」下的憑證隔離，防止單一憑證洩露導致全庫失陷。

三層安全檢查機制

登錄驗證：用戶名/密碼/主機匹配，通過即建立連接。
授權檢查：連接建立後，根據權限表判斷用戶可執行何種操作（如 DROP TABLE）。
訪問控制：細粒度到列級的操作許可（SELECT/INSERT/UPDATE/REFERENCES 等），均為布爾型允許/拒絕。

二、核心權限體系詳解

權限分類	關鍵字	說明
數據操作	SELECT	查詢權限，無此權限僅能執行表達式計算類 SELECT
	INSERT	插入數據
	UPDATE	修改數據
	DELETE	刪除數據
	INDEX	創建/刪除索引
	ALTER	修改表結構
	CREATE	創建庫/表
	GRANT	將自身權限授予他人（極高危）
REFERENCES	創建外鍵約束
管理級權限（極度謹慎授予）	RELOAD	執行 FLUSH TABLES/STATUS 等
	SHUTDOWN	關閉 MySQL 服務
	PROCESS	查看/殺死進程（SHOW PROCESSLIST, KILL），可見敏感 SQL
	FILE	LOAD DATA INFILE，可讀取服務器任意文件（極高危）
	SUPER	殺死任意查詢，修改全局變量，刷新日志等

三、五大核心授權表（mysql 库下的 MyISAM 表）

user：全局權限與加密密碼，決定「誰能從哪裡連接」
host：主機級權限，不考慮用戶，配合 user 表進行連接校驗。GRANT/REVOKE 不影響此表，需手工維護。
db：庫級權限
tables_priv：表級權限
columns_priv：列級權限

權限生效邏輯：user → db → tables_priv → columns_priv 逐層疊加，任一層允許即通過。

四、SSL 加密傳輸：防止數據鏈路竊聽

MySQL 4.1+ 基於 OpenSSL 實現 SSL 支持。啟用步驟：

編譯/安裝帶 OpenSSL 支持的 MySQL（Windows 版預集成，Linux 需編譯參數 --with-openssl）
生成 CA 證書、服務器證書、客戶端證書
配置 my.cnf：ssl-ca, ssl-cert, ssl-key
創建強制 SSL 的用戶：

GRANT ALL ON ssl_db.* TO 'user'@'%' IDENTIFIED BY 'pwd' REQUIRE SSL;
-- 或要求特定客戶端證書
GRANT ALL ON ssl_db.* TO 'user'@'%' IDENTIFIED BY 'pwd' REQUIRE SUBJECT '/CN=client.example.com';
-- 或要求特定簽發機構
GRANT ALL ON ssl_db.* TO 'user'@'%' IDENTIFIED BY 'pwd' REQUIRE ISSUER '/CN=ca.example.com';
-- 或指定加密套件
GRANT ALL ON ssl_db.* TO 'user'@'%' IDENTIFIED BY 'pwd' REQUIRE CIPHER 'EDH-RSA-DES-CBC3-SHA';

驗證 SSL 連接：SHOW VARIABLES LIKE 'have_ssl'; 應返回 YES；連接後執行 SHOW STATUS LIKE 'Ssl_cipher'; 顯示當前加密套件。

五、敏感數據哈希存儲：單向加密最佳實踐

密碼、銀行卡 PIN 等極敏感數據 絕不可明文存儲。哈希算法特性：單向不可逆，驗證時將輸入同算法哈希後與存儲值比對。

MySQL 內建哈希函數對比

函數	輸出長度	特點	推薦度
MD5()	32 字符 (128-bit)	速度快，廣泛支持，明文不出現在進程列表/日志（若用 SQL 調用）	⭐⭐⭐⭐⭐
SHA1()	40 字符 (160-bit)	比 MD5 強，但同樣面臨碰撞攻擊風險	⭐⭐⭐⭐
PASSWORD()	16/41 字符	MySQL 內部認證專用，算法版本相關，不建議業務使用	⭐
ENCRYPT()	視鹽值而定	基於 crypt()，僅 Unix/Linux 有效，Windows 返回 NULL	⭐⭐

業務層密碼存儲範例

-- 註冊/修改密碼
INSERT INTO users (username, pwd_hash) VALUES ('zhangsan', MD5('plain_password'));
-- 或更安全：應用層使用 bcrypt/Argon2，僅存儲結果

-- 登錄驗證
SELECT * FROM users WHERE username='zhangsan' AND pwd_hash = MD5('input_password');

進階建議：生產環境應在應用層使用 bcrypt、scrypt、Argon2 等自適應慢哈希算法，並加入隨機鹽值，僅將最終哈希值存入 MySQL。資料庫層面的 MD5/SHA1 僅適用於非核心敏感度場景或歷史兼容。

六、安全加固清單

刪除匿名用戶：DELETE FROM mysql.user WHERE User='';
禁止 root 遠程登錄：UPDATE mysql.user SET Host='localhost' WHERE User='root';
移除 test 庫及其權限：DROP DATABASE test; DELETE FROM mysql.db WHERE Db='test' OR Db='test\\_%';
最小權限原則：業務賬號僅授予必要庫/表的 SELECT/INSERT/UPDATE/DELETE
啟用 SSL 強制加密傳輸
定期審計 mysql.user 表，檢查無密碼/弱密碼/過寬 Host 的賬號
生產環境禁用 FILE、PROCESS、SUPER、GRANT 等高危權限