设置强密码并定期更换：root账户需使用12位以上含大小写字母、数字和特殊字符的强密码，通过ALTER USER命令修改，并设置90天密码过期策略；2. 限制登录来源：删除'root'@'%'等远程访问权限，仅允许本地或受信任IP访问；3. 创建专用管理账户：创建如'admin'@'localhost'账号用于日常维护，赋予必要权限，避免使用root操作；4. 启用日志审计：开启general_log或使用审计插件监控root操作，定期检查异常登录。核心原则是最小必要权限与最小暴露范围，杜绝弱密码、远程访问和日常滥用，显著降低安全风险。
MySQL 中 root 账户拥有最高权限，若管理不当容易引发安全风险。保障 root 账户安全的核心在于权限控制、密码策略和访问限制。
1. 设置强密码并定期更换
root 账户必须使用高强度密码，避免使用简单或默认密码。
- 密码长度不少于12位，包含大小写字母、数字和特殊字符
- 使用如下命令修改 root 密码：
ALTER USER 'root'@'localhost' IDENTIFIED BY 'YourStrongPassword!123';
- 定期更新密码，建议每90天更换一次
- 启用密码过期策略：ALTER USER 'root'@'localhost' PASSWORD EXPIRE INTERVAL 90 DAY;
2. 限制 root 登录来源
避免 root 账户从任意主机登录，只允许本地或受信任的IP访问。
- 查看当前 root 登录权限：
SELECT User, Host FROM mysql.user WHERE User = 'root';
- 删除不必要的远程 root 访问记录，如 'root'@'%'：
DROP USER 'root'@'%';
安装、修复、更新或打包一个基于 Python 和 PyMySQL 实现的 Windows `mysql` 命令。适用于用户希望在 PowerShell/CMD 中输入 `mysql` 时重定向到 Python 实现、需要交互式输入 MySQL 连接信息、需要同步到当前用户本地 bin 目录，或需要将该能力封装成可公开复用的 Codex skill。
- 如有需要，可为特定IP创建受限管理员账户，而非开放 root 远程登录
3. 使用专用管理账户替代日常操作
不要在日常维护中使用 root 账户，应创建权限更小的管理账号。
- 创建具有必要管理权限的用户：
CREATE USER 'admin'@'localhost' IDENTIFIED BY 'AdminPass!2024';
GRANT SELECT, INSERT, UPDATE, DELETE, RELOAD, PROCESS ON *.* TO 'admin'@'localhost';
- 保留 root 仅用于紧急或初始化操作
4. 启用日志审计与监控
开启 MySQL 的通用查询日志或审计插件，追踪 root 操作行为。
- 启用通用日志（仅调试时建议）：
SET GLOBAL general_log = 'ON';
- 生产环境推荐使用企业级审计插件或 Percona Audit Plugin
- 定期检查错误日志中是否有异常登录尝试
基本上就这些。root 安全的关键是“最小必要权限”和“最小暴露范围”。只要不随意开放远程访问、不用弱密码、不长期使用 root 做日常操作，就能大幅降低风险。
