MySQL 安装后安全加固与性能优化指南

理解初始状态与安全风险

初次安装MySQL时，系统会初始化授权表（grant tables），其中包含以下默认配置：

• Root账户无密码：可以从本地主机（localhost）以 root 用户连接而不需要指定口令。root 拥有所有权限，包括管理权限。
• 匿名访问权限：允许本地用户匿名访问名为 test 以及任何以 test_ 开头的数据库，虽然无管理权限，但可进行数据操作。
• 本地连接宽松策略：无论是使用 localhost 还是真实主机名，从本地发起的多服务器连接均被允许。

这些默认设置使得刚安装的MySQL极其不安全。作为管理员，首要任务是切断这些未授权的访问路径。

第一步：重置 Root 账户密码

这是最关键的一步。必须为 root 用户设置一个强密码，并确保证书更改后立即生效。

第1步：使用 mysqladmin 命令设置密码

目的：在 MySQL 3.22 及以上版本中，通过命令行工具快速设置或修改 root 密码。

操作：执行以下命令，将 yourpassword 替换为你的实际强密码：

mysqladmin -u root password "yourpassword"

第2步：通过 SQL 语句修改密码（适用于所有版本）

目的：直接修改用户表，确保兼容性。

操作：

1. 登录 MySQL：

mysql -u root mysql

2. 执行更新语句：

UPDATE user SET password=PASSWORD("yourpassword") WHERE User="root";

3. 刷新权限使更改立即生效：

FLUSH PRIVILEGES;

注意：如果在使用 mysqladmin 后服务器仍未要求密码，可能需要手动重载授权表：
mysqladmin -u root reload

第二步：清理默认测试环境与匿名账户

删除不必要的数据库和用户可以减少攻击面。建议在生产环境中彻底移除默认的 test 库和除 root@localhost 以外的其他账户。

第1步：删除 Test 数据库

DROP DATABASE test;

第2步：清理 Users 和 DB 表

目的：移除匿名账户和可能存在的其他多余权限配置。

操作：

1. 切换到 mysql 系统库：

USE mysql;

2. 删除非 localhost 或非 root 的记录，以及 db 表中的冗余权限：

DELETE FROM db;
DELETE FROM user WHERE NOT (Host="localhost" AND User="root");
FLUSH PRIVILEGES;

风险提示：此操作不可逆，请确认系统中没有其他合法的管理员账户后再执行。

第三步：强化账号管理与访问控制

第1步：更改默认 Root 用户名（可选但推荐）

目的：避免使用众所周知的 root 名称进行暴力破解攻击。

操作：

UPDATE mysql.user SET User="admin_new_name" WHERE User="root";
FLUSH PRIVILEGES;

记得后续所有登录都使用新用户名。

第2步：禁止远程 TCP/IP 连接

目的：除非有特定需求，否则应禁止 MySQL 监听网络端口，防止外部扫描和连接。

操作：编辑配置文件 my.cnf（Linux）或 my.ini（Windows），在 [mysqld] 段下添加：

skip-networking

重启 MySQL 服务使其生效。

第3步：禁用本地文件导入/导出功能

目的：防止恶意用户通过 SQL 读取服务器敏感文件或写入 Web Shell。

操作：在 [mysqld] 配置中添加：

set-variable=local-infile=0

或者在现代 MySQL 版本中使用：

--local-infile=0

第四步：实施最小权限原则

不要直接使用 root 账户应用业务逻辑。应为每个应用程序创建专用账户，仅授予必要的权限。

第1步：创建专用数据库和用户

CREATE DATABASE db1;

第2步：授予有限权限

说明：以下示例仅允许用户对特定数据库进行基本的 CRUD 操作。

GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, DROP ON db1.* TO 'user_app'@'localhost' IDENTIFIED BY 'app_password';
FLUSH PRIVILEGES;

关键点：

• 尽量限制主机为 localhost，杜绝远程访问应用账户。
• 不要授予 FILE, PROCESS, SUPER 等高危权限，除非必要。

第五步：限制元数据浏览与性能调优

第1步：禁止普通用户查看其他数据库列表

目的：隐藏系统架构信息，增加攻击者侦察难度。

操作：在 my.cnf 的 [mysqld] 部分添加：

--skip-show-database

第2步：根据内存选择配置文件模板

合理的内存配置能显著提升稳定性。参考官方提供的模板大小：

• my-small.cnf：适合内存 < 64MB 的小型系统。
• my-medium.cnf：适合 32M - 64M 内存。
• my-large.cnf：适合 ~512MB 内存。
• my-huge.cnf：适合 1G-2GB 内存。
• my-innodb-heavy-4G.cnf：适合 4GB 内存且重度依赖 InnoDB 的系统。

第六步：日常维护与故障修复

第1步：快速修复损坏的表

如果怀疑数据库表结构损坏，可以使用 mysqlcheck 工具进行在线检查或修复。

修复所有数据库：

mysqlcheck -A -o -r -p

修复指定数据库：

mysqlcheck database_name -o -r -p

其中 -o 表示优化，-r 表示修复。

总结

MySQL 的安全是一个持续的过程。从安装后的 root 密码设置、匿名账户清理，到运行时的权限最小化、网络连接限制，每一步都至关重要。同时，结合服务器硬件资源选择合适的配置文件，并做好定期备份与表修复检查，能确保数据库长期稳定运行。以上就是 MySQL 数据库安全设置与注意事项的详细内容，更多关于数据库安全防护的资料请关注本站其它相关文章！