如何配置mysql环境安全策略_mysql基础安全环境_网络技术

发布时间 - 2026-01-09 00:00:00 点击率：次

必须重置root密码并禁用空密码登录，将认证插件改为mysql_native_password；禁止root远程访问，创建最小权限专用账户；禁用secure_file_priv、local_infile和symbolic-links；启用错误日志审计并限制错误信息泄露。

MySQL 安装后默认 root 用户常为空密码或仅本地访问，但若未显式设置，极易被暴力破解或本地提权。必须在初始化后立即重置密码，并确认认证方式不为 auth_socket（Ubuntu/Debian 默认），否则 SET PASSWORD 会静默失败。

进入后检查当前认证插件：

SELECT user, host, plugin FROM mysql.user WHERE user = 'root';

若 plugin 是 auth_socket，需先切为 mysql_native_password：

ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'StrongPass123!';

生产环境绝不能开放 root@'%'，也不建议长期使用 root@localhost 执行业务操作。应分离管理账户与应用账户，按需授权。

新建应用账户（如用于 WordPress）：

CREATE USER 'wp_app'@'localhost' IDENTIFIED BY 'AppPass456!';

仅授予必要库表权限：

GRANT SELECT, INSERT, UPDATE ON `wordpress`.* TO 'wp_app'@'localhost';

这些选项一旦开启，可能成为文件读写类漏洞的入口，尤其在 Web 应用存在 SQL 注入时风险极高。

检查当前值：
```
SHOW VARIABLES LIKE 'secure_file_priv';
```
若返回非 NULL 或空字符串，说明允许导入导出文件

在 my.cnf 的 [mysqld] 段强制禁用：

secure_file_priv = ""
local_infile = OFF
symbolic_links = OFF

重启 MySQL 后验证：
```
SELECT @@local_infile;
```
应返回 OFF
注意：secure_file_priv = "" 表示完全禁用 LOAD DATA INFILE 和 SELECT ... INTO OUTFILE，比设为 /tmp 更安全

MySQL 默认错误日志不记录 SQL 语句本身，但客户端连接失败、权限拒绝等事件仍可暴露账户名、IP、甚至部分查询结构。Web 错误页若直接输出 MySQL 报错（如 Access denied for user...），等于帮攻击者做信息收集。

确保 log_error 已启用（默认开启），路径通常为 /var/log/mysql/error.log
禁用客户端显示详细错误：
```
SET GLOBAL log_warnings = 2;
```
（MySQL 5.7+ 支持更细粒度警告日志）
在应用层捕获 mysqli_connect_error() 或 mysql.connector.Error，统一返回模糊提示，例如“服务暂时不可用”，而非原始 MySQL 错误消息
定期轮转日志，防止磁盘占满：logrotate 配合 mysqladmin flush-logs

实际部署中，最常被跳过的一步是验证 plugin 类型和 secure_file_priv 状态——它们不会报错，但会让前面所有密码和权限操作形同虚设。