MySQL 資料庫安全硬化全方案：檔案權限、網路存取控制、授權表機制與防注入編程規範

一、系統層面安全

1. 資料目錄權限 (核心)

# 僅 mysql 用戶可讀寫
chown -R mysql:mysql /usr/local/mysql/var
chmod -R go-rwx /usr/local/mysql/var
# 確認結果
ls -l /usr/local/mysql/var/
# drwx------ mysql mysql ...
# -rw------- mysql mysql ... *.MYD *.MYI *.frm

• 舊版 (3.21/3.22) 預設 775/770 極度危險，必須手動收斂。

2. 禁止 Root 啟動 mysqld

# 正確啟動
mysqld_safe --user=mysql &
# 強制 root 啟動 (極度不建議)
mysqld_safe --user=root &

• Root 啟動導致 LOAD DATA INFILE/SELECT ... INTO OUTFILE 擁有 Root 權限，可讀寫系統敏感檔案。

3. 歷史指令防洩漏

# 避免密碼寫入 .bash_history/.mysql_history
mysql -u root -p   # 互動式輸入密碼
mysqldump -u root -p db > backup.sql

# 徹底禁用歷史記錄
rm -f ~/.bash_history ~/.mysql_history
ln -s /dev/null ~/.bash_history
ln -s /dev/null ~/.mysql_history

4. 啟動參數安全強化

二、網路與授權安全

1. 初始 user 表清理

-- 刪除匿名用戶
DELETE FROM mysql.user WHERE User='';
-- 移除 Host='%' 的 root
DELETE FROM mysql.user WHERE Host='%' AND User='root';
-- 設定 root 強密碼
SET PASSWORD FOR 'root'@'localhost' = PASSWORD('StrongPass!23');
FLUSH PRIVILEGES;

2. 授權表機制 (五表聯動)

• user：全域權限 (超級用戶)，嚴禁授予應用帳號。
• db：資料庫級權限，主力授權層。
• host：輔助 db 控制主機存取 (不受 GRANT 影響)。
• tables_priv：資料表級權限 (SET 型態)。
• columns_priv：欄位級權限 (SET 型態)。

3. GRANT/REVOKE 最佳實踐

-- 應用帳號：最小權限
GRANT SELECT, INSERT, UPDATE, DELETE ON app_db.* TO 'app'@'10.0.1.%' IDENTIFIED BY 'Pass!23';
-- 唯讀報表帳號
GRANT SELECT ON app_db.* TO 'report'@'10.0.2.%' IDENTIFIED BY 'Pass!23';
-- 撤銷
REVOKE INSERT ON app_db.* FROM 'app'@'10.0.1.%';
-- 刪除用戶
DROP USER 'app'@'10.0.1.%';

三、應用層防注入編程規範

鐵律：永遠不要相信使用者輸入，數值欄位也要用參數化 (WHERE id=?)，拼接 SQL 絕對禁止。

四、進階技巧

1. 忘記 Root 密碼：mysqld_safe --skip-grant-tables & → 更新密碼 → 重啟。
2. 慢查詢分析：--log-slow-queries + mysqldumpslow / pt-query-digest。
3. 審計：MariaDB Audit Plugin / MySQL Enterprise Audit 記錄所有 DDL/DML/登入。

1. 上一篇文章： Linux 異構網路下 MySQL 備份策略：本地 mysqldump、DVD 刻錄離線歸檔與自動化腳本設計
2. 下一篇文章： MySQL 入門快速上手：Windows 安裝、服務啟動、Root 密碼設定與基礎連線測試

MySQL 資料庫相關知識

PHP 連接 MySQL 三大方式全解析：mysql、mysqli、PDO

方式一：傳統 mysql 擴展（已棄用） ⚠️ 警告：PHP

MySQL 分區表優化實戰：從建表到維護的完整指南

大表優化三大策略對比 策略優點缺點適用場景 分表提高並發、

MySQL Memory 引擎淺析（一）：官方文檔深度譯解與特性全景圖

專案因快取需求評估 Memory 引擎，過程中發現官方文檔僅

MySQL 資料庫設計實戰筆記：從理論到專案落地

作者：楊鑫奇 近期手邊同時啟動三個專案，其中兩個從零開始建設