2. 首页 > MySQL教程 > 正文

MySQL教程FG053-MySQL基础安全操作

教程整理：风哥教程  |  更新时间：2026-01-18  |  教程分类：MySQL教程  |  文档学习：0
GF-MySQL

内容简介：本文主要介绍MySQL相关知识，包括安装、配置、优化等内容。风哥教程参考MySQL官方文档MySQL SQL Syntax、MySQL Server Administration。 01 更多视频教程www.fgedu.net.cn 02 学习交流加群风哥微信: itpux-com

Part01-基础概念与理论知识

1.1 安全的重要性

MySQL数据库安全是确保数据完整性、可用性和机密性的重要环节。通过实施有效的安全措施，可以防止未授权访问、数据泄露和恶意攻击，保护企业的敏感数据和业务连续性。 03 学习交流加群风哥QQ113257174

1.2 安全威胁

  • 未授权访问：未经许可的用户访问数据库
  • SQL注入：通过恶意SQL语句攻击数据库
  • 密码破解：攻击者尝试猜测或破解密码
  • 数据泄露：敏感数据被非法获取
  • 拒绝服务攻击：通过大量请求使数据库服务不可用
  • 权限提升：普通用户获取管理员权限

1.3 安全原则

  • 最小权限原则：用户只获得必要的权限
  • 深度防御：多层安全措施
  • 定期审计：定期检查安全配置和访问记录
  • 及时更新：保持MySQL版本和安全补丁的更新
  • 加密传输：使用SSL/TLS加密数据传输

Part02-生产环境规划与建议

2.1 创建用户

# 创建用户
CREATE USER 'username'@'localhost' IDENTIFIED BY 'password';

# 创建远程用户
CREATE USER 'username'@'%' IDENTIFIED BY 'password';

# 创建带密码过期策略的用户
CREATE USER 'username'@'localhost' IDENTIFIED BY 'password' PASSWORD EXPIRE INTERVAL 90 DAY;

2.2 修改用户

# 修改用户密码
ALTER USER 'username'@'localhost' IDENTIFIED BY 'new_password';

# 修改用户主机
RENAME USER 'username'@'localhost' TO 'username'@'%';

# 锁定用户
ALTER USER 'username'@'localhost' ACCOUNT LOCK;

# 解锁用户
ALTER USER 'username'@'localhost' ACCOUNT UNLOCK;

2.3 删除用户

# 删除用户
DROP USER 'username'@'localhost';

# 删除多个用户
DROP USER 'user1'@'localhost', 'user2'@'%';

2.4 查看用户

# 查看所有用户
SELECT user, host FROM mysql.user;

# 查看用户权限
SHOW GRANTS FOR 'username'@'localhost';

Part03-生产环境项目实施方案

3.1 授予权限

# 授予数据库所有权限
GRANT ALL PRIVILEGES ON database_name.* TO 'username'@'localhost';

# 授予表的特定权限
GRANT SELECT, INSERT, UPDATE ON database_name.table_name TO 'username'@'localhost';

# 授予带授权选项的权限
GRANT ALL PRIVILEGES ON database_name.* TO 'username'@'localhost' WITH GRANT OPTION;

3.2 撤销权限

# 撤销数据库所有权限
REVOKE ALL PRIVILEGES ON database_name.* FROM 'username'@'localhost';

# 撤销表的特定权限
REVOKE SELECT, INSERT ON database_name.table_name FROM 'username'@'localhost';

3.3 刷新权限

# 刷新权限
FLUSH PRIVILEGES;

3.4 权限级别

权限级别 描述 示例
全局级别 适用于所有数据库 GRANT ALL ON *.*
数据库级别 适用于特定数据库 GRANT ALL ON db.*
表级别 适用于特定表 GRANT ALL ON db.table
列级别 适用于特定列 GRANT SELECT (col1, col2) ON db.table
存储过程级别 适用于存储过程 GRANT EXECUTE ON PROCEDURE db.proc

Part04-生产案例与实战讲解

4.1 密码策略

# 查看密码策略
SHOW VARIABLES LIKE 'validate_password%';

# 设置密码策略
SET GLOBAL validate_password.policy = 'STRONG';
SET GLOBAL validate_password.length = 8;
SET GLOBAL validate_password.number_count = 1;
SET GLOBAL validate_password.special_char_count = 1;
SET GLOBAL validate_password.upper_case_count = 1;
SET GLOBAL validate_password.lower_case_count = 1;

4.2 密码过期

# 设置密码过期时间
SET GLOBAL default_password_lifetime = 90;

# 为特定用户设置密码过期时间
ALTER USER 'username'@'localhost' PASSWORD EXPIRE INTERVAL 90 DAY;

# 立即过期用户密码
ALTER USER 'username'@'localhost' PASSWORD EXPIRE;

4.3 密码重置

# 重置root密码（方法1）
mysql -u root -p
ALTER USER 'root'@'localhost' IDENTIFIED BY 'new_password';

# 重置root密码（方法2 - 无密码登录）
# 停止MySQL服务
systemctl stop mysql

# 启动MySQL服务跳过权限检查
mysqld_safe --skip-grant-tables &

# 登录并重置密码
mysql -u root
FLUSH PRIVILEGES;
ALTER USER 'root'@'localhost' IDENTIFIED BY 'new_password';

# 重启MySQL服务
systemctl restart mysql

Part05-风哥经验总结与分享

5.1 绑定IP地址

# 在my.cnf中绑定IP地址
[mysqld]
bind-address = 127.0.0.1  # 只允许本地访问
# bind-address = 0.0.0.0  # 允许所有IP访问

5.2 防火墙设置

# 查看防火墙状态
systemctl status firewalld

# 允许MySQL端口
firewall-cmd --permanent --add-port=3306/tcp
firewall-cmd --reload

# 允许特定IP访问MySQL
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100/32" port protocol="tcp" port="3306" accept'
firewall-cmd --reload

5.3 限制连接数

# 在my.cnf中设置最大连接数
[mysqld]
max_connections = 151

# 设置用户最大连接数
CREATE USER 'username'@'localhost' IDENTIFIED BY 'password' WITH MAX_USER_CONNECTIONS 10;

5.4 连接超时设置

# 在my.cnf中设置连接超时
[mysqld]
wait_timeout = 28800  # 8小时
interactive_timeout = 28800  # 8小时

6. SSL/TLS加密

6.1 启用SSL

# 生成SSL证书
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/mysql/server-key.pem -out /etc/mysql/server-cert.pem

# 在my.cnf中启用SSL
[mysqld]
ssl-ca=/etc/mysql/ca.pem
ssl-cert=/etc/mysql/server-cert.pem
ssl-key=/etc/mysql/server-key.pem

# 重启MySQL服务
systemctl restart mysql

# 检查SSL状态
SHOW VARIABLES LIKE 'have_ssl';

6.2 强制SSL连接

# 创建需要SSL的用户
CREATE USER 'ssl_user'@'localhost' IDENTIFIED BY 'password' REQUIRE SSL;

# 修改现有用户需要SSL
ALTER USER 'existing_user'@'localhost' REQUIRE SSL;

6.3 测试SSL连接

# 使用SSL连接
mysql -u ssl_user -p --ssl-mode=REQUIRED

# 检查连接是否使用SSL
SHOW STATUS LIKE 'Ssl_cipher';

7. 数据安全

7.1 数据加密

# 使用AES加密函数
SELECT AES_ENCRYPT('sensitive_data', 'encryption_key');
SELECT AES_DECRYPT(encrypted_data, 'encryption_key');

# 使用SHA256哈希
SELECT SHA2('password', 256);

7.2 敏感数据保护

  • 使用加密函数：对敏感数据进行加密存储
  • 避免明文存储：不在数据库中存储明文密码
  • 数据脱敏：对敏感数据进行脱敏处理
  • 访问控制：限制敏感数据的访问权限

7.3 备份安全

# 加密备份文件
mysqldump -u root -p database_name | gzip | openssl enc -aes-256-cbc -salt -out backup.sql.gz.enc

# 解密备份文件
openssl enc -d -aes-256-cbc -in backup.sql.gz.enc | gunzip | mysql -u root -p database_name

8. 日志安全

8.1 错误日志

# 在my.cnf中配置错误日志
[mysqld]
log_error = /var/log/mysql/error.log

# 设置错误日志权限
chown mysql:mysql /var/log/mysql/error.log
chmod 640 /var/log/mysql/error.log

8.2 慢查询日志

# 在my.cnf中配置慢查询日志
[mysqld]
slow_query_log = 1
slow_query_log_file = /var/log/mysql/slow-query.log
long_query_time = 2

# 设置慢查询日志权限
chown mysql:mysql /var/log/mysql/slow-query.log
chmod 640 /var/log/mysql/slow-query.log

8.3 二进制日志

# 在my.cnf中配置二进制日志
[mysqld]
log_bin = /var/log/mysql/mysql-bin.log
expire_logs_days = 7

# 设置二进制日志权限
chown mysql:mysql /var/log/mysql/mysql-bin.*
chmod 640 /var/log/mysql/mysql-bin.*

8.4 审计日志

# 启用审计日志插件
INSTALL PLUGIN audit_log SONAME 'audit_log.so';

# 在my.cnf中配置审计日志
[mysqld]
audit_log = FORCE
audit_log_file = /var/log/mysql/audit.log

# 设置审计日志权限
chown mysql:mysql /var/log/mysql/audit.log
chmod 640 /var/log/mysql/audit.log

9. 安全加固

9.1 初始化安全设置

# 运行安全加固脚本
mysql_secure_installation

9.2 移除匿名用户

# 移除匿名用户
DELETE FROM mysql.user WHERE User='';
FLUSH PRIVILEGES;

9.3 禁止root远程登录

# 禁止root远程登录
DELETE FROM mysql.user WHERE User='root' AND Host NOT IN ('localhost', '127.0.0.1', '::1');
FLUSH PRIVILEGES;

9.4 移除测试数据库

# 移除测试数据库
DROP DATABASE IF EXISTS test;
DELETE FROM mysql.db WHERE Db='test' OR Db='test\_%';
FLUSH PRIVILEGES;

9.5 限制文件权限

# 设置MySQL配置文件权限
chown mysql:mysql /etc/my.cnf
chmod 640 /etc/my.cnf

# 设置数据目录权限
chown -R mysql:mysql /var/lib/mysql
chmod -R 750 /var/lib/mysql

10. 安全审计

10.1 查看用户活动

# 查看当前连接
SHOW PROCESSLIST;

# 查看用户登录历史
SELECT * FROM mysql.general_log WHERE command_type='Connect';

10.2 查看权限变更

# 查看权限变更
SELECT * FROM mysql.general_log WHERE argument LIKE '%GRANT%' OR argument LIKE '%REVOKE%';

10.3 定期安全检查

  • 检查用户权限：定期审查用户权限
  • 检查密码策略：确保密码复杂度
  • 检查日志文件：监控异常活动
  • 检查系统更新：及时应用安全补丁
  • 检查网络安全：确保防火墙配置正确

11. 常见安全问题与解决方案

11.1 SQL注入攻击

  • 使用参数化查询：避免直接拼接SQL语句
  • 输入验证：对用户输入进行验证
  • 最小权限原则：限制数据库用户权限
  • 使用预处理语句：防止SQL注入

11.2 密码破解

  • 使用强密码策略：设置复杂密码
  • 密码过期：定期更换密码
  • 限制登录尝试：防止暴力破解
  • 使用双因素认证：增加认证安全

11.3 未授权访问

  • 移除匿名用户：删除默认匿名用户
  • 限制远程访问：只允许必要的IP访问
  • 使用SSL：加密数据传输
  • 定期审查权限：确保权限设置正确

11.4 数据泄露

  • 加密敏感数据：对敏感数据进行加密
  • 限制数据访问：只允许必要的用户访问
  • 审计日志：记录数据访问活动
  • 备份加密：加密备份文件

12. 安全最佳实践

12.1 日常安全维护

  • 定期更新：保持MySQL版本和安全补丁的更新
  • 备份数据：定期备份数据库
  • 监控日志：定期检查安全日志
  • 权限审查：定期审查用户权限
  • 安全扫描：定期进行安全扫描

12.2 安全配置示例

# 安全的my.cnf配置
[mysqld]
# 基本安全设置
skip-networking = 0
bind-address = 127.0.0.1

# 密码策略
validate_password.policy = STRONG
validate_password.length = 8

# 连接限制
max_connections = 151
wait_timeout = 28800

# 日志设置
log_error = /var/log/mysql/error.log
slow_query_log = 1
slow_query_log_file = /var/log/mysql/slow-query.log
log_bin = /var/log/mysql/mysql-bin.log
expire_logs_days = 7

# SSL设置
ssl-ca = /etc/mysql/ca.pem
ssl-cert = /etc/mysql/server-cert.pem
ssl-key = /etc/mysql/server-key.pem

# 审计日志
audit_log = FORCE
audit_log_file = /var/log/mysql/audit.log

12.3 安全意识培训

  • 密码安全：使用强密码，定期更换
  • 社会工程学防范：警惕钓鱼邮件和电话
  • 安全操作流程：遵循安全操作规范
  • 异常报告：及时报告可疑活动

13. 实际应用案例

13.1 企业级安全配置

# 企业级MySQL安全配置脚本
#!/bin/bash

# 运行安全加固
mysql_secure_installation

# 创建只读用户
mysql -u root -p -e "CREATE USER 'readonly'@'localhost' IDENTIFIED BY 'strong_password';"
mysql -u root -p -e "GRANT SELECT ON *.* TO 'readonly'@'localhost';"

# 创建应用用户
mysql -u root -p -e "CREATE USER 'app_user'@'localhost' IDENTIFIED BY 'strong_password';"
mysql -u root -p -e "GRANT SELECT, INSERT, UPDATE, DELETE ON app_db.* TO 'app_user'@'localhost';"

# 启用SSL
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/mysql/server-key.pem -out /etc/mysql/server-cert.pem
chown mysql:mysql /etc/mysql/server-*.pem
chmod 600 /etc/mysql/server-*.pem

# 更新my.cnf
cat >> /etc/my.cnf << EOF
[mysqld]
ssl-ca=/etc/mysql/ca.pem
ssl-cert=/etc/mysql/server-cert.pem
ssl-key=/etc/mysql/server-key.pem
EOF

# 重启MySQL
systemctl restart mysql

# 验证安全配置
mysql -u root -p -e "SHOW VARIABLES LIKE 'have_ssl';"
mysql -u root -p -e "SELECT user, host FROM mysql.user;"
mysql -u root -p -e "SHOW GRANTS FOR 'app_user'@'localhost';"

13.2 安全审计脚本

#!/bin/bash

# 安全审计脚本

# 检查用户权限
echo "=== 用户权限检查 ==="
mysql -u root -p -e "SELECT user, host, plugin FROM mysql.user;"
mysql -u root -p -e "SELECT user, host, Grant_priv, Super_priv FROM mysql.user;"

# 检查密码策略
echo "\n=== 密码策略检查 ==="
mysql -u root -p -e "SHOW VARIABLES LIKE 'validate_password%';"

# 检查网络设置
echo "\n=== 网络设置检查 ==="
mysql -u root -p -e "SHOW VARIABLES LIKE 'bind_address';"
mysql -u root -p -e "SHOW VARIABLES LIKE 'skip_networking';"

# 检查日志设置
echo "\n=== 日志设置检查 ==="
mysql -u root -p -e "SHOW VARIABLES LIKE '%log%';"

# 检查SSL设置
echo "\n=== SSL设置检查 ==="
mysql -u root -p -e "SHOW VARIABLES LIKE 'have_ssl';"
mysql -u root -p -e "SHOW VARIABLES LIKE 'ssl%';"

# 检查系统更新
echo "\n=== 系统更新检查 ==="
yum check-update || apt list --upgradable

14. 总结

MySQL基础安全操作是数据库管理中的重要环节。通过实施有效的安全措施，可以防止未授权访问、数据泄露和恶意攻击，保护企业的敏感数据和业务连续性。 04 风哥提示：

本文介绍了MySQL的安全操作，包括用户管理、权限管理、密码管理、网络安全、SSL/TLS加密、数据安全、日志安全、安全加固和安全审计等内容。同时，还介绍了常见安全问题与解决方案，以及安全最佳实践。 05更多学习教程公众号风哥教程itpux_com

在实际应用中，应该根据企业的安全需求，实施多层次的安全措施，定期进行安全审计和更新，确保MySQL数据库的安全。通过本文的学习，您应该掌握了MySQL基础安全操作的方法和技巧，能够在实际工作中保护MySQL数据库的安全。 06 from mysql视频:www.itpux.com

GF-MySQL培训系列文档，由资深数据库专家精心打造，涵盖MySQL全方位技术知识。

本文由风哥教程整理发布,仅用于学习测试使用,转载注明出处:http://www.fgedu.net.cn/10327.html

相关推荐

联系我们

在线咨询：点击这里给我发消息

微信号：itpux-com

工作日：9:30-18:30，节假日休息