MySQL备份安全需落实“三防”：防篡改（强制SHA256校验并独立存证）、防泄露（分层隔离存储+最小权限访问控制）、防丢失（本地临时+远程归档+可选离线介质）。
MySQL 备份文件本身不加密、不校验、不隔离，直接存放在服务器本地或共享目录中，极易被误删、覆盖、勒索或未授权访问。安全存储备份文件，核心是做到“三防”：防篡改、防泄露、防丢失。
备份文件必须启用完整性校验
仅生成 SQL 或物理备份（如 xtrabackup）不够，攻击者或故障可能静默损坏备份，导致恢复失败。每次备份完成后，应立即生成校验值并独立保存。
- 用 sha256sum 计算备份文件哈希，输出重定向到同名 .sha256 文件（如 backup_20240510.sql.sha256）
- 校验脚本需在备份完成后自动执行，并将结果写入日志；失败时触发告警（如邮件或企业微信）
- 恢复前务必运行 sha256sum -c backup_xxx.sql.sha256 验证一致性
备份存储须与生产环境逻辑隔离
禁止将备份直接存于 MySQL 数据目录、/tmp 或 Web 可访问路径。推荐采用分层存储策略：
-
本地临时区：仅保留最近 24 小时备份，权限设为
600，属主为专用备份用户（非 mysql 或 root） - 远程归档区：使用 SFTP/SCP 推送至独立备份服务器，或上传至对象存储（如 MinIO、阿里云 OSS），开启服务端加密（SSE）和版本控制
- 离线介质（可选）：每周全量备份写入加密 USB 或磁带，物理锁入保险柜，标签注明日期与校验码
权限与访问控制不可绕过
备份文件含敏感数据（结构、账号、甚至明文密码），其访问权限必须严格收敛：
- 所有备份文件属主设为非登录用户（如
backup），组权限清空（chmod 600） - 禁用 FTP、HTTP 等无认证协议传输备份；SFTP 账户仅允许
sftp-onlyshell，且 chroot 到专属目录 - 若用云存储，使用最小权限 IAM 策略（仅
s3:PutObject+s3:GetObject），禁用ListBucket权限
自动化流程中嵌入安全钩子
手动操作易遗漏关键步骤。建议在备份脚本中固化安全动作：
- 备份前：检查目标存储空间、校验工具是否存在、SSH 连接是否可用
- 备份后：计算 SHA256、推送至远程、删除本地临时副本、记录操作日志（含用户、时间、文件名、校验值）
- 每日定时执行恢复演练脚本（在测试库还原最新备份），成功后自动清理测试数据
