防止MySQL越权访问需遵循最小权限原则，创建专用用户并限制其权限；通过指定IP地址限制登录来源，避免使用通配符%；启用SSL加密通信，防止数据泄露；定期开启日志审计与监控，审查用户账户和操作记录。1. 使用GRANT仅授所需权限，禁用高危权限；2. 结合防火墙限制3306端口访问；3. 配置MySQL SSL并强制用户SSL连接；4. 启用general_log、performance_schema进行行为追踪。安全需持续维护，非一次性配置。
防止MySQL越权访问的核心在于严格的权限管理和安全配置。通过合理设置用户权限、加强身份验证、限制网络访问和定期审计，能有效避免未经授权的操作。
1. 最小权限原则分配用户权限
每个数据库用户应仅拥有完成其任务所必需的最小权限，避免使用root或高权限账户进行日常操作。
- 创建专用用户并授予具体权限，例如只允许某用户访问特定数据库：
CREATE USER 'app_user'@'localhost' IDENTIFIED BY '强密码';
GRANT SELECT, INSERT, UPDATE ON mydb.app_table TO 'app_user'@'localhost';
- 禁止随意授予FILE、PROCESS、SUPER等高危权限。
- 定期检查用户权限，删除不再需要的账号或收回多余权限：
REVOKE DROP ON *.* FROM 'user'@'%';
2. 限制登录来源IP地址
控制哪些主机可以连接数据库，减少外部攻击面。
- 创建用户时指定可信IP或内网段，如：
CREATE USER 'admin'@'192.168.1.100' IDENTIFIED BY 'password';
3. 启用SSL加密连接
防止登录凭证和数据在传输过程中被窃听或中间人攻击。
- 配置MySQL启用SSL：
[mysqld]
ssl-ca=ca-cert.pem
ssl-cert=server-cert.pem
ssl-key=server-key.pem
GRANT ... REQUIRE SSL;
4. 定期审计与监控
及时发现异常行为是防御越权的重要环节。
- 开启通用日志或慢查询日志（注意性能影响）：
SET GLOBAL general_log = 'ON';
SELECT User, Host, authentication_string FROM mysql.user;
基本上就这些。关键是坚持最小权限、限定访问源、加密通信和持续监控。安全不是一次配置就能一劳永逸的事，需要长期维护和检查。
