SQL数据库安全加固需协同实施访问控制与加密策略：落实最小权限、强身份认证、静态数据加密（TDE/字段级）及强制TLS/SSL传输加密。

SQL数据库安全加固的核心在于严格控制谁可以访问数据、能做什么操作，以及确保数据在存储和传输中不被窃取或篡改。访问控制解决“谁可以进、能看什么、能改什么”，加密策略解决“即使拿到数据也看不懂”。两者必须配合使用，缺一不可。

最小权限原则落地：精细分配用户角色

避免使用高权限账号（如root、sa）直接连接应用或日常运维。应为每个应用、每个运维人员创建独立账号，并仅授予完成任务所必需的权限。

• 应用账号只赋予SELECT、INSERT、UPDATE等具体表级权限，禁用DROP、ALTER、CREATE DATABASE等DDL权限
• 开发人员账号禁止访问生产库；测试环境数据需脱敏，且不能映射生产账号体系
• 定期审计权限分配（如MySQL执行SELECT user, host, Select_priv, Insert_priv FROM mysql.user），及时回收离职人员或停用系统的账号

强身份认证与连接管控

默认弱口令、明文传输、任意IP连接是常见突破口。必须从登录源头收紧。

• 强制密码复杂度（如8位以上、大小写字母+数字+特殊字符），并启用密码有效期和失败锁定（如SQL Server的LOGIN POLICY或PostgreSQL的pg_hba.conf + fail2ban联动）
• 禁用空密码、默认账号（如MySQL的anonymous用户、SQL Server的guest），删除或禁用示例数据库（test、sampledb）
• 限制登录来源：通过防火墙或数据库配置（如MySQL的GRANT ... ON ... TO 'user'@'192.168.10.%'）限定可信网段，禁用公网直连

静态数据加密（TDE）与敏感字段加密

磁盘被盗、备份泄露、DBA越权查看——这些风险靠访问控制无法规避，必须加密数据本身。

• 启用透明数据加密（TDE）：SQL Server、Oracle、Azure SQL、PostgreSQL（via pgcrypto extension或企业版）均支持。加密整个数据库文件，不影响应用逻辑
• 对身份证号、手机号、银行卡等高敏字段，采用应用层加密（如AES-256-GCM）后再存入数据库，密钥由KMS（如HashiCorp Vault、阿里云KMS）统一管理，绝不硬编码
• 避免使用可逆函数（如BASE64、ROT13）代替加密；哈希仅适用于密码类不可逆场景（须加盐+慢哈希如bcrypt）

传输层加密：强制TLS/SSL通信

未加密的数据库连接（尤其跨网络、云环境）极易被中间人截获账号密码和查询结果。

• MySQL：配置require_secure_transport=ON，并为用户设置REQUIRE SSL；分发CA证书给客户端验证服务端身份
• PostgreSQL：在postgresql.conf中设ssl=on，pg_hba.conf中将host行改为hostssl，拒绝非SSL连接
• 验证是否生效：连接后执行SHOW ssl;（PostgreSQL）或STATUS;查看SSL信息（MySQL）