MySQL 用戶初始化與安全加固：刪除匿名用戶、設置強密碼、最小權限授權

MySQL 用戶初始化與安全加固：刪除匿名用戶、設置強密碼、最小權限授權

MySQL 初始安裝默認存在匿名用戶、root 無密碼、測試庫等安全隱患。本文提供標準化初始化腳本，覆蓋 root 密碼設置、匿名用戶清理、業務賬號創建、權限最小化、遠程訪問控制等全鏈路加固操作。

一、 默認安全隱患盤點

二、 標準初始化操作步驟

1. 以 root 登入（首次無密碼）

mysql -u root

2. 設置 root 密碼（多 Host 覆蓋）

-- 5.7+ 語法
ALTER USER 'root'@'localhost' IDENTIFIED BY 'StrongRootPass123!';
ALTER USER 'root'@'127.0.0.1' IDENTIFIED BY 'StrongRootPass123!';
ALTER USER 'root'@'::1' IDENTIFIED BY 'StrongRootPass123!';
-- 若需遠程管理（極不推薦），單獨創建管理賬號
FLUSH PRIVILEGES;

3. 創建業務應用賬號（最小權限原則）

-- 僅允許應用服務器 IP 訪問
CREATE USER 'app_user'@'10.0.1.%' IDENTIFIED BY 'AppUserPass456!';

-- 僅授予業務庫增刪改查權限
GRANT SELECT, INSERT, UPDATE, DELETE, EXECUTE 
ON `app_db`.* 
TO 'app_user'@'10.0.1.%';

-- 禁止 DDL、GRANT、SHUTDOWN 等危險權限
FLUSH PRIVILEGES;

4. 刪除匿名用戶（關鍵步驟）

-- 查看所有用戶
SELECT User, Host FROM mysql.user;

-- 刪除匿名用戶（注意 Host 匹配）
DROP USER ''@'localhost';
DROP USER ''@'%';
-- 若報錯 ERROR 1396，按實際 Host 刪除：
-- DROP USER ''@'actual_hostname';

💡 技巧：SELECT User, Host FROM mysql.user WHERE User = ''; 精確定位匿名用戶 Host。

5. 刪除測試庫

DROP DATABASE IF EXISTS test;
DELETE FROM mysql.db WHERE Db = 'test' OR Db LIKE 'test\_%';
FLUSH PRIVILEGES;

6. 禁用 root 遠程登入（若誤開啟）

DELETE FROM mysql.user WHERE User = 'root' AND Host NOT IN ('localhost', '127.0.0.1', '::1');
FLUSH PRIVILEGES;

三、 自動化初始化腳本

#!/bin/bash
# mysql_secure_init.sh
# 使用：mysql_secure_init.sh 'RootPass' 'AppUser' 'AppPass' 'AppDB' 'AppIP%'

ROOT_PASS=$1
APP_USER=$2
APP_PASS=$3
APP_DB=$4
APP_HOST=$5

mysql -uroot <