笙亿网络策划

MySQL安全配置全解析，守护数据安全，构建稳固数据库防线

约 6 分钟读完 7 阅
文章导读
结论：MySQL安全配置的核心是限制root用户远程访问、设置强密码、禁用不必要服务、定期备份和监控日志。通过以下配置构建稳固防线：1. 编辑my.cnf文件，设置skip-name-resolve、bind-address=127.0.0.1；2. 创建专用用户并授予最小权限；3. 启用SSL加密连接；4. 配置防火墙只允许必要端口；5. 使用fail2ban监控失败登录。
📋 目录
  1. 壹 基础安全配置
  2. 贰 用户管理和权限控制
  3. 叁 强化root用户安全
  4. 肆 网络和加密配置
  5. 伍 日志和监控
  6. 陆 防火墙和系统加固
  7. 柒 备份与恢复策略
A A

结论：MySQL安全配置的核心是限制root用户远程访问、设置强密码、禁用不必要服务、定期备份和监控日志。通过以下配置构建稳固防线：1. 编辑my.cnf文件，设置skip-name-resolve、bind-address=127.0.0.1；2. 创建专用用户并授予最小权限；3. 启用SSL加密连接；4. 配置防火墙只允许必要端口；5. 使用fail2ban监控失败登录。

基础安全配置

首先，确保MySQL配置文件/etc/my.cnf中添加以下内容：[mysqld] skip-name-resolve skip-external-locking skip-networking bind-address=127.0.0.1 sql_mode=STRICT_TRANS_TABLES,NO_ZERO_DATE,NO_ZERO_IN_DATE,ERROR_FOR_DIVISION_BY_ZERO,NO_AUTO_CREATE_USER,NO_ENGINE_SUBSTITUTION。这些设置可以防止DNS反向解析攻击，并限制MySQL只监听本地接口。

用户管理和权限控制

删除匿名用户：DELETE FROM mysql.user WHERE User=''; 刷新权限：FLUSH PRIVILEGES; 为每个应用创建专用用户，如CREATE USER 'app_user'@'localhost' IDENTIFIED BY 'strong_password'; GRANT SELECT,INSERT,UPDATE,DELETE ON app_db.* TO 'app_user'@'localhost'; 避免使用root用户运行应用。

MySQL安全配置全解析，守护数据安全，构建稳固数据库防线

强化root用户安全

修改root密码：ALTER USER 'root'@'localhost' IDENTIFIED BY 'VeryStrongPassword123!'; 禁止root远程登录：DELETE FROM mysql.user WHERE User='root' AND Host NOT IN ('localhost', '127.0.0.1', '::1'); 只允许本地登录，并使用unix_socket认证插件：INSTALL PLUGIN auth_socket SONAME 'auth_socket.so'; ALTER USER 'root'@'localhost' IDENTIFIED WITH auth_socket;

网络和加密配置

启用SSL：生成证书后在my.cnf中添加[client] ssl-ca=/path/to/ca.pem ssl-cert=/path/to/client-cert.pem ssl-key=/path/to/client-key.pem [mysqld] ssl-ca=/path/to/ca.pem ssl-cert=/path/to/server-cert.pem ssl-key=/path/to/server-key.pem require_secure_transport=ON。强制所有连接使用SSL，确保数据传输加密。

MySQL安全配置全解析，守护数据安全，构建稳固数据库防线

日志和监控

启用通用查询日志和慢查询日志：general_log=1 general_log_file=/var/log/mysql/mysql.log slow_query_log=1 slow_query_log_file=/var/log/mysql/mysql-slow.log long_query_time=2。安装Percona Toolkit或使用pt-query-digest分析慢查询，及时发现异常。

防火墙和系统加固

使用firewalld或iptables限制3306端口：iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 3306 -j ACCEPT iptables -A INPUT -p tcp --dport 3306 -j DROP。禁用不必要的插件：--skip-symbolic-links --skip-federated，并定期运行mysql_secure_installation脚本。

MySQL安全配置全解析，守护数据安全，构建稳固数据库防线

备份与恢复策略

使用mysqldump定期备份：mysqldump -u root -p --single-transaction --routines --triggers --all-databases > backup.sql。结合xtrabackup进行物理备份，并将备份文件加密存储到安全位置，测试恢复流程。

FAQ
Q: 如何快速运行MySQL安全加固脚本？
A: 执行mysql_secure_installation，按提示设置root密码、移除匿名用户、禁用远程root登录。
Q: MySQL默认端口怎么保护？
A: 修改port=3307，并用防火墙限制访问IP范围。
Q: 忘记root密码怎么办？
A: 停止mysqld，--skip-grant-tables启动，修改密码后重启。
Q: 如何监控入侵尝试？
A: 开启error_log，安装fail2ban配置mysql jail监控/var/log/mysql/error.log。