如何确保MySQL密码设置既安全又有效，全面防范各类潜在安全漏洞？
- 内容介绍
- 文章标签
- 相关推荐
在实际运维中。MySQL 的安全设置往往被表面化，导致漏洞层出不穷。很多人只关注密码强度，却忽略了账户多主机、空密码还有错误日志泄露等细节。结果一旦被扫描或本地提权，数据库瞬间失守。
一、先识别隐藏的“空洞”——同名账户与空密码
最容易被忽略的是：多个 host 的同名账户权限不一致，其中一个可能留着空密码；或者以为禁用了 root@'%' 就安全，却忘记 root@'::1' 仍可用。这类细节不会报错，也不会触发告警。但只要一次扫描或一次本地提权，就全线失守。
再看先执行。
SELECT user,host,auntication_string FROM mysql.user;
至于检查是否存在，
-
root@localhost无密码或极弱口令。 -
root@127.0.0.1/root@::1/*%等多主机同名账号，且密码为空或弱口令。话说回来，
二、开启并配置 validate_password 插件
MySQL 5.7+ 自带 SET PASSWORD/CREATE USER 允许设 “123”、“password” 等弱口令，等于形同虚设。
说到操作步骤，
- 加载插件：
- 设置强度阈值：
- 启用策略：
# INSTALL PLUGIN validate_password SONAME 'validate_password.so';
# SET GLOBAL validate_password.length = 12;# SET GLOBAL validate_password.mixed_case_count = 1;不过，# SET GLOBAL validate_password.number_count = 1;# SET GLOBAL validate_password.special_char_count = 1;
# SET GLOBAL validate_password.policy = STRONG;
说到痛点提示。如果你没有及时开启插件，即使后续设置了强口令，也会因为旧账号依然使用弱口令而导致风险。其实，
三、限制监听地址与防火墙规则
Mysql 默认监听 0.0.0.0:3306。代表着只要防火墙没拦，外网就能扫描到端口。老实说，若你只需要内部访问。应改为:
# ALTER SYSTEM SET bind-address='127.0.0.1';
从痛点提醒来看。绑定错误导致外网暴露，攻击者可以快速枚举账户名并进行暴力。
四、开启安全日志并关闭敏感信息泄露
Mysql 的 error 日志如果设置过高 verbosity。 会记录认证失败的使用者名，成为攻击者枚举账户名的“黄金矿”。怎么说呢，请确保这方面，
- log_error_verbosity=1: 仅记录错误信息，不包含使用者名。
- `--skip-grant-tables` 在生产环境绝不使用。
- `--skip-networking` 可在维护期间临时禁止网络访问。
五、遵循最小权限原则
常见错误：AWS RDS 或 Web 应用常给数据库使用者 ALL PRIVILEGES，仅仅是 SELECT 就足够。话说回来，如果给了 UPDATE/DELETE/INSERT/CREATE/GRANT 权限。一旦账号泄露，全局破坏几乎不可避免。使用特定业务账号，还有分配对应角色。示例这方面，
# CREATE USER 'app_user'@'%' IDENTIFIED BY 'StrongPass!23'，# GRANT SELECT ON dbname.* TO 'app_user'@'%';# FLUSH PRIVILEGES;这一步很关键，因为即使有管理员也会意外授予过大权限。
痛点提醒这方面。你可能已经在业务代码里直接使用 root 或 admin 使用者，而未意识到它们拥有 ALL 权限。一定要把业务层拆成专门角色！
六、定期审计和监控
-
audit plugin / sys_schema.audit_log / MySQL Enterprise Audit:
记录所有登录尝试、DDL/DML 操作，还有权限更改。示例这方面，
# INSTALL PLUGIN audit_log SONAME 'audit_log.so';其实，# SET GLOBAL audit_log_policy=ALL;
- 定期检查 password policy 是否生效： SELECT variable_value FROM performance_schema.global_variables WHERE variable_name='validate_password_policy';确保仍为 STRONG，
-
监控登录失败率：
如果某个 IP 在短时间内失败次数>10，则立即封锁该 IP 并报警。
- `SELECT user_host,user FROM mysql.user WHERE auntication_string=''` 查看是否还有空密码账户。`
说到痛点提示。许多团队把审计日志当成“占位符”，根本没有阅读或分析。审计只是第一步先，还需要对异常行为做自动响应。
- 先查 同名主机多账号 + 空密码；其实，
-
再强
validate_password并开启插件； -
后绑
bind-address与防火墙； - 最终 按最小权限分配业务账号 + 审计 + 自动化响应。其实，
只有做到每一步都严谨落实你才能真正把 MySQL 的安全漏洞彻底堵住让数据库既安全又有效。说起来，
在实际运维中。MySQL 的安全设置往往被表面化，导致漏洞层出不穷。很多人只关注密码强度，却忽略了账户多主机、空密码还有错误日志泄露等细节。结果一旦被扫描或本地提权，数据库瞬间失守。
一、先识别隐藏的“空洞”——同名账户与空密码
最容易被忽略的是：多个 host 的同名账户权限不一致，其中一个可能留着空密码；或者以为禁用了 root@'%' 就安全，却忘记 root@'::1' 仍可用。这类细节不会报错，也不会触发告警。但只要一次扫描或一次本地提权，就全线失守。
再看先执行。
SELECT user,host,auntication_string FROM mysql.user;
至于检查是否存在，
-
root@localhost无密码或极弱口令。 -
root@127.0.0.1/root@::1/*%等多主机同名账号，且密码为空或弱口令。话说回来，
二、开启并配置 validate_password 插件
MySQL 5.7+ 自带 SET PASSWORD/CREATE USER 允许设 “123”、“password” 等弱口令，等于形同虚设。
说到操作步骤，
- 加载插件：
- 设置强度阈值：
- 启用策略：
# INSTALL PLUGIN validate_password SONAME 'validate_password.so';
# SET GLOBAL validate_password.length = 12;# SET GLOBAL validate_password.mixed_case_count = 1;不过，# SET GLOBAL validate_password.number_count = 1;# SET GLOBAL validate_password.special_char_count = 1;
# SET GLOBAL validate_password.policy = STRONG;
说到痛点提示。如果你没有及时开启插件，即使后续设置了强口令，也会因为旧账号依然使用弱口令而导致风险。其实，
三、限制监听地址与防火墙规则
Mysql 默认监听 0.0.0.0:3306。代表着只要防火墙没拦，外网就能扫描到端口。老实说，若你只需要内部访问。应改为:
# ALTER SYSTEM SET bind-address='127.0.0.1';
从痛点提醒来看。绑定错误导致外网暴露，攻击者可以快速枚举账户名并进行暴力。
四、开启安全日志并关闭敏感信息泄露
Mysql 的 error 日志如果设置过高 verbosity。 会记录认证失败的使用者名，成为攻击者枚举账户名的“黄金矿”。怎么说呢，请确保这方面，
- log_error_verbosity=1: 仅记录错误信息，不包含使用者名。
- `--skip-grant-tables` 在生产环境绝不使用。
- `--skip-networking` 可在维护期间临时禁止网络访问。
五、遵循最小权限原则
常见错误：AWS RDS 或 Web 应用常给数据库使用者 ALL PRIVILEGES，仅仅是 SELECT 就足够。话说回来，如果给了 UPDATE/DELETE/INSERT/CREATE/GRANT 权限。一旦账号泄露，全局破坏几乎不可避免。使用特定业务账号，还有分配对应角色。示例这方面，
# CREATE USER 'app_user'@'%' IDENTIFIED BY 'StrongPass!23'，# GRANT SELECT ON dbname.* TO 'app_user'@'%';# FLUSH PRIVILEGES;这一步很关键，因为即使有管理员也会意外授予过大权限。
痛点提醒这方面。你可能已经在业务代码里直接使用 root 或 admin 使用者，而未意识到它们拥有 ALL 权限。一定要把业务层拆成专门角色！
六、定期审计和监控
-
audit plugin / sys_schema.audit_log / MySQL Enterprise Audit:
记录所有登录尝试、DDL/DML 操作，还有权限更改。示例这方面，
# INSTALL PLUGIN audit_log SONAME 'audit_log.so';其实，# SET GLOBAL audit_log_policy=ALL;
- 定期检查 password policy 是否生效： SELECT variable_value FROM performance_schema.global_variables WHERE variable_name='validate_password_policy';确保仍为 STRONG，
-
监控登录失败率：
如果某个 IP 在短时间内失败次数>10，则立即封锁该 IP 并报警。
- `SELECT user_host,user FROM mysql.user WHERE auntication_string=''` 查看是否还有空密码账户。`
说到痛点提示。许多团队把审计日志当成“占位符”，根本没有阅读或分析。审计只是第一步先，还需要对异常行为做自动响应。
- 先查 同名主机多账号 + 空密码；其实，
-
再强
validate_password并开启插件； -
后绑
bind-address与防火墙； - 最终 按最小权限分配业务账号 + 审计 + 自动化响应。其实，
只有做到每一步都严谨落实你才能真正把 MySQL 的安全漏洞彻底堵住让数据库既安全又有效。说起来，