MySQL 默认安全性弱，需从限制访问、最小权限、加密通信、日志审计四方面加固：修改 root 密码并禁用空密码登录；删除匿名用户与测试库；禁止远程 root 登录，创建专用账号；启用密码策略与 SSL 加密。
MySQL 默认安装后安全性较弱，需手动加固。核心是限制访问、最小权限、加密通信和日志审计四个方向。
修改默认 root 密码并禁用空密码登录
安装后 root 用户常为空密码或仅本地可登录，必须立即设置强密码。若仍能免密登录，说明 auth_socket 插件在起作用（常见于 Ubuntu/Debian 的 MySQL 5.7+）。
- 登录 MySQL：使用 red">sudo mysql -u root（系统级 root 权限临时绕过）
- 切换认证方式并设密：
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'YourStrongPass123!'; - 刷新权限：FLUSH PRIVILEGES;
- 退出后测试：mysql -u root -p，确认需密码且旧空密码失效
删除默认匿名用户与测试库
MySQL 初始化会创建匿名用户（''@'localhost'）和 test 库，属于典型攻击入口。
- 查看当前用户：SELECT User, Host FROM mysql.user;
- 删匿名用户：DROP USER ''@'localhost';
- 删测试库：DROP DATABASE IF EXISTS test;
- 清理残留权限：DELETE FROM mysql.db WHERE Db='test' OR Db='test\\_%'; FLUSH PRIVILEGES;
限制远程 root 登录，按需创建专用账号
root 不应从任意主机登录。生产环境建议关闭远程 root，改用普通账号 + 严格 IP 限制 + 最小权限原则。
- 禁止 root 远程登录：DELETE FROM mysql.user WHERE User='root' AND Host!='localhost'; FLUSH PRIVILEGES;
- 为应用创建专用账号（示例）：
CREATE USER 'appuser'@'192.168.1.100' IDENTIFIED BY 'AppPass456!';
GRANT SELECT, INSERT, UPDATE ON myapp.* TO 'appuser'@'192.168.1.100';
FLUSH PRIVILEGES; - 如需远程管理，单独建 admin 账号，限定来源 IP，禁用 DROP/FILE/SUPER 等高危权限
启用强制密码策略与连接加密
防止弱口令和明文传输泄露是基础防线。
- 启用密码强度校验（MySQL 5.7+）：
在 my.cnf 的 [mysqld] 段加入：
validate_password.policy=STRONG
validate_password.length=12
validate_password.mixed_case_count=2
validate_password.number_count=2
validate_password.special_char_count=2 - 开启 SSL（自签名也可应急）：
启动时加参数 --ssl-mode=REQUIRED，或配置 ssl-ca、ssl-cert、ssl-key；
应用连接字符串中添加 ?ssl-mode=REQUIRED
