MySQL 數據庫安全配置實戰：從目錄權限到編程防注入的纵深加固指南

三、危險權限「零授權」清單

四、本地日志洩露防範：.bash_history / .mysql_history

風險：命令行帶密碼 mysqldump -uroot -pP@ssw0rd db > dump.sql 寫入 .bash_history；SQL 交互修改密碼 SET PASSWORD = PASSWORD('new') 寫入 .mysql_history。

4.1 即時清理與永久禁用

# 當前用戶
rm -f ~/.bash_history ~/.mysql_history
ln -s /dev/null ~/.bash_history
ln -s /dev/null ~/.mysql_history

# 系統級 (所有用戶生效，需 root)
echo 'unset HISTFILE' >> /etc/profile
echo 'export MYSQL_HISTFILE=/dev/null' >> /etc/profile
# 或在用戶 .bashrc / .bash_profile 設置

4.2 操作規範：絕不在命令行明文密碼

# 錯誤示範
mysqldump -uroot -pP@ssw0rd db > dump.sql
mysql -uroot -pP@ssw0rd -e "UPDATE user SET password=PASSWORD('new')"

# 正確姿勢
mysqldump -uroot -p db > dump.sql   # 交互輸入密碼
mysql -uroot -p -e "SET PASSWORD = PASSWORD('new')"  # 交互輸入
# 或使用配置文件
[client]
user=root
password="P@ssw0rd"  # 文件 600 權限
# mysqldump --defaults-file=/etc/mysql/backup.cnf db > dump.sql

五、編程層防注入：各語言標準 API 對照表

六、Web 應用通用輸入驗證白名單規範

# 正則白名單示例 (PHP)
function validate($input, $type) {
    $patterns = [
        'int'    => '^\d+$',
        'uint'   => '^[1-9]\d*$',
        'email'  => '^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$',
        'alpha'  => '^[a-zA-Z]{1,50}$',
        'alnum'  => '^[a-zA-Z0-9]{1,50}$',
        'safe'   => '^[a-zA-Z0-9_\-\.@]{1,100}$',  // 通用安全字符
        'date'   => '^\d{4}-\d{2}-\d{2}$',
        'datetime'=> '^\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}$',
    ];
    return isset($patterns[$type]) && preg_match('/'.$patterns[$type].'/', $input);
}

# 使用
$id = $_GET['id'] ?? '';
if (!validate($id, 'uint')) { http_response_code(400); exit('Invalid ID'); }
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$id]);

七、網絡與審計：最後一道防線

1. 網絡微隔離：安全組/防火牆僅放行應用服務器 IP → 3306；禁用公網訪問；管理走堡壘機/VPN/SSH 隧道。
2. 審計日志：MariaDB/MySQL Enterprise Audit / McAfee Audit Plugin / pgaudit (PG) 記錄：登錄、DDL、DML、失敗嘗試、敏感表訪問。
3. 加密傳輸：REQUIRE SSL 用戶、require_secure_transport=ON、skip_name_resolve=ON。
4. 定期滲透測試：SQLMap、自定義腳本、紅隊演練，驗證防禦有效性。

結語

MySQL 安全加固無銀彈，**目錄權限 700 + 專用運行用戶 + 最小權限帳號 + 禁用危險權限 + 參數化查詢 + 日志不洩露 + 網絡微隔離 + 審計可追溯**，九層防線缺一不可。將上述清單固化為 Ansible Playbook / Terraform Module / Dockerfile 最佳實踐，納入 CI/CD 門禁與定期巡檢，方能構建經得起實戰考驗的數據庫安全基線。