如何为mysql配置基础安全策略_mysql基础安全配置指南

MySQL 默认安全性弱，需从限制访问、最小权限、加密通信、日志审计四方面加固：修改 root 密码并禁用空密码登录；删除匿名用户与测试库；禁止远程 root 登录，创建专用账号；启用密码策略与 SSL 加密。

MySQL 默认安装后安全性较弱，需手动加固。核心是限制访问、最小权限、加密通信 和日志审计四个方向。

修改默认 root 密码并禁用空密码登录

安装后 root 用户常为空密码或仅本地可登录，必须立即设置强密码。若仍能免密登录，说明 auth_socket 插件在起作用（常见于 Ubuntu/Debian 的 MySQL 5.7+）。

• 登录 MySQL：使用 red”>sudo mysql -u root（系统级 root 权限临时绕过）
• 切换认证方式并设密：
  ALTER USER ‘root’@’localhost’ IDENTIFIED WITH mysql_native_password BY ‘YourStrongPass123!’;
• 刷新权限：FLUSH PRIVILEGES;
• 退出后测试：mysql -u root -p，确认需密码且旧空密码失效

删除默认匿名用户与测试库

MySQL 初始化会创建匿名用户（”@’localhost’）和 test 库，属于典型攻击入口。

• 查看当前用户：SELECT User, Host FROM mysql.user;
• 删匿名用户：DROP USER ”@’localhost’;
• 删测试库：DROP DATABASE IF EXISTS test;
• 清理残留权限：DELETE FROM mysql.db WHERE Db=’test’ OR Db=’test\_%’; FLUSH PRIVILEGES;

限制远程 root 登录，按需创建专用账号

root 不应从任意主机登录。生产环境建议关闭远程 root，改用普通账号 + 严格 IP 限制 + 最小权限原则。

• 禁止 root 远程登录：DELETE FROM mysql.user WHERE User=’root’ AND Host!=’localhost’; FLUSH PRIVILEGES;
• 为应用创建专用账号（示例）：
  CREATE USER ‘appuser’@’192.168.1.100′ IDENTIFIED BY ‘AppPass456!’;
  GRANT SELECT, INSERT, UPDATE ON myapp.* TO ‘appuser’@’192.168.1.100’;
  FLUSH PRIVILEGES;
• 如需远程管理，单独建 admin 账号，限定来源 IP，禁用 DROP/FILE/SUPER 等高危权限

启用强制密码策略与连接加密

防止弱口令和明文传输泄露是基础防线。

• 启用密码强度校验（MySQL 5.7+）：
  在 my.cnf 的 [mysqld] 段加入：
  validate_password.policy=STRONG
  validate_password.length=12
  validate_password.mixed_case_count=2
  validate_password.number_count=2
  validate_password.special_char_count=2
• 开启 SSL（自签名也可应急）：
  启动时加参数 —ssl-mode=REQUIRED，或配置 ssl-ca、ssl-cert、ssl-key；
  应用连接字符串中添加 ?ssl-mode=REQUIRED