说说MySQL数据库那些安全配置，别忽视了这些细节会出问题

说说MySQL数据库那些安全配置，别忽视了这些细节会出问题

很多人觉得MySQL数据库装好就能用了，安全设置无非就是设个复杂密码，但其实，很多严重的安全漏洞都出在那些看似不起眼的细节配置上，如果忽视了这些，数据库就像把家门钥匙藏在脚垫下面，风险非常大,下面我们就来聊聊这些不能忽视的安全细节。

安装完数据库，第一步不是建表，而是“大扫除”

根据MySQL官方文档的指导，新安装的MySQL实例会自带一个初始数据库（比如mysql库），里面包含一些默认的用户和测试数据库,这是第一个安全隐患。

• 必须删除匿名账户：这些账户用户名为空，意味着任何人即使没有账号也能登录数据库，只不过权限可能很小，但这就给攻击者提供了一个入口，务必使用DROP USER语句清理掉所有没有用户名的账户。
• 立即清理测试数据库：那个叫test的数据库或任何以test_开头的数据库，默认情况下所有用户都有权限访问，它可能成为攻击者上传恶意代码或进行试探的“沙箱”，直接使用DROP DATABASE命令将其删除。

给root账户上“多重锁”，别让它裸奔

root是MySQL的超级管理员，拥有最高权限，很多人图省事，只用它来管理，并且可能从任何地方都能连接,这是非常危险的。

• 禁止root远程登录：除非有绝对必要，否则永远不要允许root用户从（代表任意主机）登录，应该将root的登录主机限制为localhost，也就是只能从数据库服务器本机登录，这样，即使攻击者拿到了root密码,也无法从网络直接攻击。
• 创建专属管理账号：根据最小权限原则，应该为不同的管理任务创建不同的、权限受限的管理员账号，一个账号只负责备份，另一个账号只负责用户管理，而不是所有事都用root来完成，这样即使某个子管理员账号泄露,造成的破坏也是有限的。

密码策略不是可有可无，是必须执行的纪律

弱密码是数据库被攻破的最常见原因之一。

• 启用密码强度验证插件：MySQL 5.7及以上版本自带了一个validate_password插件，开启后，它可以强制要求密码满足一定长度，包含大小写字母、数字和特殊字符，这能有效防止用户（包括管理员自己）设置像“123456”这样的简单密码。
• 定期更换密码：给重要账户（尤其是root和应用连接账户）设置密码过期时间，比如90天或180天强制更换一次,这能降低密码长期泄露带来的风险。

应用连接数据库的账户，权限要“精打细算”

你的网站或应用程序需要一个账户来连接数据库，这个账户的权限设置是安全的重中之重,但也是最容易被滥用的地方。

• 绝对禁止给应用账户ALL PRIVILEGES：图省事直接给应用账户授予所有数据库的所有权限，相当于给了它一把万能钥匙，一旦应用程序存在SQL注入漏洞，攻击者就能通过这个账户完全控制你的数据库,后果是灾难性的。
• 遵循“最小权限原则”：这个原则在OWASP（开放式Web应用程序安全项目）中被反复强调，意思是只授予账户完成其功能所必需的最少权限，具体来说就是：
  • 只给库级或表级权限：应用只需要操作某个数据库,就不要给它其他数据库的权限。
  • 只给必要的操作权限：应用如果只需要查询（SELECT）和插入（INSERT）数据，就绝对不要给它删除（DELETE）、修改（UPDATE）或修改表结构（ALTER）的权限。
  • 甚至细化到列级：如果某个表里有敏感列（如密码、手机号），而应用业务不需要读取它们,可以考虑在授权时排除这些列。

网络安全和日志审计，筑起最后一道防线

有些安全配置不在数据库内部,但在整个服务器环境中至关重要。

• 改变默认端口：MySQL默认使用3306端口，虽然这不能算作真正的安全措施（安全通过 obscurity 是不可靠的），但可以避免被网络上大量的自动化扫描工具第一时间发现和攻击,算是一个简单的干扰手段。
• 加密连接：如果应用程序和数据库不在同一台机器上，必须使用SSL/TLS加密它们之间的网络通信，否则，网络传输中的数据（包括密码和敏感数据）都是明文的，很容易被窃听,可以参考MySQL官方文档配置SSL证书。
• 开启日志记录：通用日志或慢查询日志不仅能用于性能排查，在安全审计时也极其重要，通过分析日志，可以发现异常的操作行为，比如在非业务时间段的大量登录尝试、异常的批量查询等，这些都是被攻击的迹象，但要注意，日志会占用磁盘空间,需要定期清理或归档。

操作系统层面的保护

数据库是运行在操作系统之上的,服务器的安全同样不能忽视。

• 使用非root用户运行MySQL服务：绝对不要用操作系统的root用户来启动MySQL服务进程（mysqld），应该创建一个专用的、权限很低的系统用户（如mysql用户）来运行它，这样即使数据库被攻破，攻击者获得的系统权限也是受限的,无法直接控制整个服务器。
• 保护好配置文件：MySQL的配置文件my.cnf或my.ini里包含着数据库的root密码等敏感信息，务必确保该文件的权限设置正确，只有启动MySQL服务的系统用户有读取权限,其他用户无权访问。

MySQL数据库的安全是一个系统工程，它贯穿从安装、配置到日常运维的每一个环节，仅仅设置一个复杂密码是远远不够的，只有关注这些细节，层层设防，才能最大程度地保护数据的安全,避免因为疏忽而导致严重的数据泄露或丢失事件。