防止MySQL越权访问需遵循最小权限原则，创建专用用户并限制其权限；通过指定IP地址限制登录来源，避免使用通配符%；启用SSL加密通信，防止数据泄露；定期开启日志审计与监控，审查用户账户和操作记录。1. 使用GRANT仅授所需权限，禁用高危权限；2. 结合防火墙限制3306端口访问；3. 配置MySQL SSL并强制用户SSL连接；4. 启用general_log、performance_schema进行行为追踪。安全需持续维护，非一次性配置。

防止MySQL越权访问的核心在于严格的权限管理和安全配置。通过合理设置用户权限、加强身份验证、限制网络访问和定期审计，能有效避免未经授权的操作。

1. 最小权限原则分配用户权限

每个数据库用户应仅拥有完成其任务所必需的最小权限，避免使用root或高权限账户进行日常操作。

• 创建专用用户并授予具体权限，例如只允许某用户访问特定数据库：

CREATE USER 'app_user'@'localhost' IDENTIFIED BY '强密码';
GRANT SELECT, INSERT, UPDATE ON mydb.app_table TO 'app_user'@'localhost';

• 禁止随意授予FILE、PROCESS、SUPER等高危权限。
• 定期检查用户权限，删除不再需要的账号或收回多余权限：

REVOKE DROP ON *.* FROM 'user'@'%';

2. 限制登录来源IP地址

控制哪些主机可以连接数据库，减少外部攻击面。

• 创建用户时指定可信IP或内网段，如：

CREATE USER 'admin'@'192.168.1.100' IDENTIFIED BY 'password';

避免使用 '%' 允许任意主机连接，除非有明确需求并配合其他安全措施。

结合防火墙规则，只允许可信服务器访问3306端口。

3. 启用SSL加密连接

防止登录凭证和数据在传输过程中被窃听或中间人攻击。

MiniMax Word

MiniMax Word专业文档生成 - 基于.NET OpenXML SDK，完整保留页眉页脚目录、修订痕迹、复杂表格样式，输出可直接交付的.docx文档。

下载

• 配置MySQL启用SSL：

[mysqld]
ssl-ca=ca-cert.pem
ssl-cert=server-cert.pem
ssl-key=server-key.pem

强制用户通过SSL连接：

GRANT ... REQUIRE SSL;

客户端连接时使用 --ssl-mode=REQUIRED 参数确保加密通信。

4. 定期审计与监控

及时发现异常行为是防御越权的重要环节。

• 开启通用日志或慢查询日志（注意性能影响）：

SET GLOBAL general_log = 'ON';

使用 performance_schema 或第三方工具监控活跃会话和SQL执行情况。

定期审查 user 表中的账户信息：

SELECT User, Host, authentication_string FROM mysql.user;

部署数据库审计工具记录所有操作，便于追溯越权行为。

基本上就这些。关键是坚持最小权限、限定访问源、加密通信和持续监控。安全不是一次配置就能一劳永逸的事，需要长期维护和检查。