需分阶段执行安装、配置与防护操作：一、用包管理器安装并运行mysql_secure_installation；二、源码编译定制安装；三、添加官方仓库安装最新版；四、创建专用用户、限制监听与禁用危险功能；五、创建最小权限账号并启用密码策略与PAM锁定。
如果您需要在Linux系统中部署MariaDB数据库并同步完成基础环境初始化与安全加固，则需分阶段执行安装、配置与防护操作。以下是实现该目标的多种方法：
一、使用系统包管理器安装MariaDB
此方法适用于主流发行版，通过官方仓库获取稳定版本，安装过程自动处理依赖关系，并提供默认服务单元文件，便于后续启用与管理。
1、对于基于RHEL/CentOS/AlmaLinux/Rocky Linux的系统，执行：
yum install -y mariadb-server mariadb
2、对于基于Debian/Ubuntu的系统，执行：
apt update && apt install -y mariadb-server mariadb-client
3、启动MariaDB服务并设置开机自启：
systemctl start mariadb && systemctl enable mariadb
4、运行安全初始化脚本：
mysql_secure_installation
二、从官方源码编译安装MariaDB
该方式可精确控制版本、编译选项及安装路径，适用于需定制存储引擎、启用特定加密模块或部署于无网络访问环境的场景。
1、安装编译依赖：
yum groupinstall "Development Tools" -y && yum install -y cmake3 openssl-devel libaio-devel ncurses-devel bison
2、下载对应版本源码包（例如mariadb-10.11.10）并解压：
wget https://downloads.mariadb.org/f/mariadb-10.11.10/source/mariadb-10.11.10.tar.gz && tar -xzf mariadb-10.11.10.tar.gz
3、进入源码目录，执行CMake配置：
cd mariadb-10.11.10 && cmake3 . -DCMAKE_INSTALL_PREFIX=/usr/local/mariadb -DWITH_SSL=openssl -DDEFAULT_CHARSET=utf8mb4 -DDEFAULT_COLLATION=utf8mb4_unicode_ci
4、编译并安装：
make -j$(nproc) && make install
5、初始化数据目录：
/usr/local/mariadb/scripts/mysql_install_db --user=mysql --basedir=/usr/local/mariadb --datadir=/usr/local/mariadb/data
6、配置systemd服务文件，指定ExecStart指向/usr/local/mariadb/bin/mysqld，并确保User=mysql与Group=mysql已存在
三、使用MariaDB官方APT/YUM仓库安装最新稳定版
当系统默认仓库版本过旧时，引入官方签名仓库可确保获取及时更新的安全补丁与功能改进，同时保持包管理一致性。
1、导入GPG密钥：
curl -LsS https://downloads.mariadb.com/MariaDB/mariadb_repo_setup | sudo bash -s -- --mariadb-server-version=10.11
2、刷新软件源列表：
apt update（Debian/Ubuntu）或 dnf makecache（RHEL/CentOS 8+）
3、安装指定版本服务组件：
apt install -y mariadb-server=10.11.10+maria~ubu2204
4、安装完成后立即执行：
mysql_secure_installation
四、初始化Linux环境基础安全策略
数据库运行前须隔离其执行上下文，限制非必要权限与网络暴露面，防止提权与横向渗透风险。
1、创建专用系统用户与组：
groupadd -g 27 mysql && useradd -r -u 27 -g mysql -s /bin/false -d /usr/local/mariadb/data mysql
2、修改数据目录所有权与权限：
chown -R mysql:mysql /var/lib/mysql && chmod 750 /var/lib/mysql
3、禁用root远程登录并移除匿名用户：
mysql -u root -e "DELETE FROM mysql.user WHERE User='';"
4、限制监听地址为本地回环：
在/etc/my.cnf.d/server.cnf的[mysqld]段添加：
bind-address = 127.0.0.1
5、禁用LOCAL INFILE功能以防范文件读取攻击：
在相同配置段添加：
local_infile = 0
五、强化MariaDB运行时访问控制
通过细粒度账户权限划分与连接约束，降低凭证泄露或SQL注入导致的数据越权访问风险。
1、登录数据库后，创建仅限应用使用的专用账号：
CREATE USER 'appuser'@'localhost' IDENTIFIED BY 'StrongPass!2024';
2、仅授予最小必要权限：
GRANT SELECT, INSERT, UPDATE ON myapp.* TO 'appuser'@'localhost';
3、撤销全局权限模板：
REVOKE ALL PRIVILEGES ON *.* FROM 'appuser'@'localhost';
4、强制密码复杂度策略（若已启用validate_password插件）：
SET GLOBAL validate_password.length = 12; SET GLOBAL validate_password.policy = STRONG;
5、配置登录失败锁定机制：
INSTALL SONAME 'auth_pam';
CREATE USER 'admin'@'localhost' IDENTIFIED VIA pam USING 'mariadb';
