Typecho 数据库权限需在 MySQL 服务端配置，而非后台设置。创建独立账号仅授予当前库的 SELECT、INSERT、UPDATE、DELETE 权限，禁止使用 root 或跨库权限，可有效限制 SQL 注入后的数据泄露范围。
先说结论：最小化权限是防止拖库的基础防线，需在数据库层面独立创建受限账号供 Typecho 连接。
- 适合：所有生产环境及公开访问的博客站点
- 优先做：禁用 root 远程连接，创建专属数据库用户
- 再验证：使用 SHOW GRANTS 确认权限无多余项
命令速用版
以下命令在 MySQL 服务端执行，用于创建受限账号并授权：
CREATE USER 'typecho_user'@'localhost' IDENTIFIED BY 'strong_password';
GRANT SELECT, INSERT, UPDATE, DELETE ON `typecho_db`.* TO 'typecho_user'@'localhost';
FLUSH PRIVILEGES;若需允许特定 IP 远程连接，将 localhost 替换为具体 IP 段，避免使用通配符 %。
为什么会这样
框架配置文件只负责传递账号密码，不管理数据库用户权限。Typecho 的 database.php 或安装向导仅用于建立连接，真正的表级、操作级权限由 MySQL 等服务端控制。若使用 root 或高权限账号，一旦代码存在 SQL 注入漏洞，攻击者可直接拖取全库数据甚至删库。
分步处理
1. 规划数据库名称：提前创建好专属数据库，如 typecho_db，避免与其他应用共用。
2. 创建独立用户：登录 MySQL 执行 CREATE USER 语句，密码需满足复杂度要求，禁止空密码。
3. 精确授权：仅授予必要权限，避免 ALL PRIVILEGES。多数博客场景只需 SELECT、INSERT、UPDATE、DELETE，严禁授予 DROP、ALTER、FILE 权限。
4. 填写安装配置：在 Typecho 安装向导的数据库连接页，填入刚才创建的账号密码，而非 root 账号。
5. 限制连接来源：若数据库与应用不在同一服务器，指定具体 IP 白名单，如 'typecho_user'@'192.168.1.5'。
怎么验证是否生效
1. 检查权限列表：登录 MySQL 执行 SHOW GRANTS FOR 'typecho_user'@'localhost';，确认无超权项。
2. 测试写入功能：在前台发布一篇文章，确认 INSERT 权限正常。
3. 测试越权操作：尝试使用该账号执行 DROP TABLE 命令，应返回 Access denied 错误。
4. 检查连接日志：查看 MySQL 错误日志，确认无因权限不足导致的频繁连接失败。
常见坑
1. 误用 root 账号：许多教程为方便直接使用 root 连接，生产环境必须禁止，防止配置泄露导致全库沦陷。
2. 主机通配符风险：使用 'user'@'%' 允许任意 IP 连接，增大了爆破风险，应限定具体 IP 或内网段。
3. 权限继承遗漏：MySQL 8.0+ 支持角色嵌套，回收父角色权限后，需检查子角色是否仍保留旧权限副本。
4. 文件权限混淆：数据库账号权限不同于服务器文件权限，上传目录需单独设置 750 或 755，属主为 Web 服务用户。
常见问题
Typecho 后台能设置数据库用户权限吗？
不能。Typecho 后台仅管理内容权限，数据库用户权限必须在 MySQL 服务端通过 SQL 语句配置。
安装时提示 Access denied 怎么办？
检查 MySQL 中该用户是否已授权对应数据库，确认主机名（localhost 或 IP）与配置文件中填写的一致。
只读账号能用于 Typecho 吗？
不能。博客系统需要写入文章和评论，至少需要 INSERT 和 UPDATE 权限，纯只读账号会导致发布失败。
需要定期更换数据库密码吗？
建议定期轮换。权限不会自动过期，但人员会转岗或服务会下线，不清理的权限就是潜在后门。
参考来源
- 数据库权限最小化配置方案.docx - 人人文库
- mysql 中用户权限的最小化原则与最佳实践
- PHP 数据库账号最小权限原则说明
- Typecho 安装配置指南
- ThinkPHP 怎样配置数据库权限_数据库权限设置教程【实战】