mysql如何防止越权访问_mysql访问控制机制

MySQL采用“用户账户+权限粒度+连接上下文”三层访问控制机制，强制认证、最小权限授权、运行时约束及网络协同加固。

MySQL 通过分层的访问控制机制防止越权访问，核心是“用户账户 + 权限粒度 + 连接上下文”三者共同约束。单纯创建用户不等于开放权限，必须显式授权，且权限可精确到库、表、列甚至具体 SQL 操作。

用户认证：连接前的第一道防线

MySQL 在客户端连接时强制验证用户名、密码及来源主机（Host）。同一个用户名在不同主机上被视为不同账户，例如 'appuser'@'192.168.1.10' 和 'appuser'@'localhost' 可拥有完全不同的权限。

• 创建用户时必须指定 Host，推荐避免使用 '%'（通配所有主机），尤其生产环境应限定为具体 IP 或内网网段
• 密码强度由 validate_password 插件控制，建议启用并设置最低长度、复杂度策略
• 旧版空密码或匿名用户（如 ''@'localhost'）需清理，执行 DROP USER ''@'localhost'; 彻底移除

权限分配：按需授予最小必要权限

权限分为全局、数据库、表、列、存储过程等层级，遵循“显式授权才生效”原则，未授权即拒绝。系统自动拒绝跨库操作（如用 user_a 的账号查 user_b 的表），除非被明确授权。

Safe Exam Browser

Safe Exam Browser是一个安全的浏览器环境，用于安全地进行在线考试。该软件将任何计算机变成一个安全的工作站。它控制对任何实用工具的访问，并防止学生使用未经授权的资源。

下载

• 应用账号应禁用高危权限：避免授予 FILE、SHUTDOWN、SUPER、PROCESS、REPLICATION CLIENT/SERVER
• 业务账号通常只需 SELECT、INSERT、UPDATE、DELETE，且限制在指定数据库（如 GRANT SELECT, INSERT ON myapp.* TO 'web'@'10.0.2.%';）
• 敏感字段（如 password_hash、id_card）可通过视图+列级权限隔离：GRANT SELECT (name, email) ON myapp.users TO 'report'@'%';

运行时约束：连接属性与动态权限控制

MySQL 8.0+ 支持角色（ROLE）和动态权限管理，支持更灵活的权限生命周期控制；同时可通过 max_user_connections、max_questions 等资源限制防暴力试探或滥用。

• 用角色统一管理权限组：CREATE ROLE 'app_reader'; GRANT SELECT ON sales.* TO 'app_reader';，再将角色赋予用户
• 启用 mandatory_roles 参数，确保所有用户默认继承审计或只读角色
• 对高风险账号启用 password_expired=1 或设置 PASSWORD EXPIRE INTERVAL 90 DAY 强制定期更新
• 监控异常登录：查询 performance_schema.accounts 或启用 general_log（仅调试）观察失败连接

补充加固手段

访问控制不能仅靠 MySQL 自身，需结合网络与操作系统层协同防御。

• MySQL 实例绑定内网地址（bind-address = 10.0.1.5），禁用 0.0.0.0 监听公网
• 防火墙（如 iptables / security group）仅放行可信应用服务器 IP 访问 3306 端口
• 应用连接字符串中禁止硬编码 root 或高权限账号，使用专用低权限账号并启用 SSL 连接（require_secure_transport=ON）
• 定期审计权限：执行 SELECT User, Host, authentication_string FROM mysql.user; 和 SHOW GRANTS FOR 'user'@'host';