MySQL 安全強化指南：從網絡加密到權限最小化的 10 大防禦策略

MySQL 資料庫安全防護體系：核心原則與實戰配置

MySQL 預設傳輸不加密（密碼除外），若不加固配置，極易遭受竊聽、提權、資料洩露等攻擊。本文系統梳理從網絡層到權限層的 10 大防禦策略。

網絡傳輸安全

帳號與認證強化

1. 強制所有帳號設定密碼

-- 修改 root 密碼範例
mysql -u root mysql
UPDATE user SET Password=PASSWORD('strong_password') WHERE user='root';
FLUSH PRIVILEGES;

風險： 空密碼帳號允許任意用戶名登入（mysql -u any_user db_name）。

2. 禁止以系統 root 運行 mysqld

• 建立專用 mysql 系統用戶：useradd -r -s /bin/false mysql
• 啟動腳本使用 su - mysql -c "mysqld" 或 systemd 服務配置 User=mysql
• MySQL 內部 root ≠ 系統 root，兩者無關聯

3. 保護啟動腳本與配置文件

• mysql.server 若含系統 root 密碼，權限設為 600（僅 root 可讀）
• 數據目錄擁有者為 mysql 用戶，權限 750（組可讀，其他無權限）

權限最小化原則

關鍵配置參數（my.cnf）

[mysqld]
# 禁用本地資料載入（防止任意文件讀取）
local-infile=0

# 禁用符號連結（防止目錄遍歷）
skip-symbolic-links

# 限制單用戶最大連接數
max_user_connections=50

# 禁用 SHOW DATABASES（資訊洩露防護）
skip-show-database

# 僅綁定內網 IP（拒絕公網直連）
bind-address=192.168.1.100

# 啟用 SSL
ssl-ca=/etc/mysql/ca.pem
ssl-cert=/etc/mysql/server-cert.pem
ssl-key=/etc/mysql/server-key.pem

DNS 與主機名安全

• 授權表優先使用 IP 地址 而非主機名
• 嚴禁使用 % 通配主機名（如 user@'%'）
• 啟動參數 --skip-name-resolve 禁用 DNS 解析，提升連線速度並避免 DNS 劫持風險

緊急修復：root 密碼遺失/鎖定

# 1. 跳過授權表啟動
mysqld_safe --skip-grant-tables &

# 2. 無密碼登入重置
mysql -u root mysql
UPDATE user SET Password=PASSWORD('new_pass') WHERE user='root';
FLUSH PRIVILEGES;

# 3. 正常重啟服務
mysqladmin shutdown
systemctl start mysqld

安全審計清單

1. 定期執行 mysql_secure_installation 互動式加固
2. 審計 mysql.user 表：無空密碼、無匿名帳號、無通配主機名
3. 檢查 information_schema.processlist 異常長連線
4. 啟用審計日志插件（Enterprise 版）或通用日志（開源版）
5. 定期輪換應用帳號密碼，撤銷離職人員權限

1. 上一篇文章： MySQL ODBC 驅動實現 SQL Server 7 與 MySQL 雙向資料轉換
2. 下一篇文章： SQL Server 資料無縫遷移至 MySQL：DTS 導出 + PHPMyAdmin 導入實戰

MySQL 資料庫相關知識

MySQL 字符串截取函數完整指南：LEFT、RIGHT、SUBSTRING、SUBSTRING_INDEX

四大核心截取函數對比 函數語法用途示例結果 LEFT

MySQL 備份恢復實戰 (五)：二進制日誌時間點恢復保證資料一致性

MySQL 備份系列完結篇：完全備份 + 二進制日誌實現時間

SQL Server 以 sp_send_dbmail 發送郵件完整設定教學

SQL Server 內建 msdb.dbo.sp_send

MySQL 聯合索引實戰：員工-部門多對多關係防重複插入

業務場景：員工與部門多對多，中間表 employee_dep