最有效措施是将数据库绑定至127.0.0.1并限制超级用户远程登录。需修改MySQL的bind_address或PostgreSQL的listen_addresses为localhost，禁用root@'%'等远程高权账户，创建最小权限应用用户，配合防火墙仅允127.0.0.1访问，并杜绝明文存储凭证。
只让数据库监听本地回环地址
绝大多数应用和数据库部署在同一台机器时，根本不需要数据库对外网开放。直接把 bind_address 改成 127.0.0.1 是最简单有效的网络层隔离手段。
MySQL 默认配置（尤其在较新版本）可能设为 bind_address = * 或 0.0.0.0，这等于把端口完全暴露在所有网卡上。PostgreSQL 的 listen_addresses 默认值也常是 'localhost'（安全），但被手动改成 '*' 后就危险了。
- MySQL：编辑
/etc/mysql/mysql.conf.d/mysqld.cnf，找到bind_address行，改为bind_address = 127.0.0.1；改完必须重启服务：sudo systemctl restart mysql - PostgreSQL：修改
/etc/postgresql/*/main/postgresql.conf中的listen_addresses = 'localhost'（确认没多出空格或引号错误），再检查pg_hba.conf是否只允许local和host localhost规则 - 改完立刻用
netstat -tlnp | grep :3306（MySQL）或netstat -tlnp | grep :5432（PostgreSQL）验证监听地址是否已变成127.0.0.1:3306，而非*:3306
禁用数据库远程 root 或超级用户登录
即使监听范围收窄了，如果应用连接时仍复用 root、postgres 这类默认超级账户，一旦应用层 SQL 拼接漏洞被触发，攻击者就能执行任意命令，包括读取系统文件、写入 Webshell。
- MySQL：运行
DROP USER 'root'@'%';（删除远程 root），保留'root'@'localhost'仅用于本地维护；为应用单独建用户：CREATE USER 'appuser'@'localhost' IDENTIFIED BY 'strong-pass';，再用GRANT SELECT,INSERT,UPDATE ON mydb.* TO 'appuser'@'localhost'; - PostgreSQL：不要让应用连
postgres用户。用CREATE ROLE appuser WITH LOGIN PASSWORD 'strong-pass';，再GRANT USAGE ON SCHEMA public TO appuser;和细粒度GRANT SELECT ON TABLE users TO appuser; - 关键点：权限必须遵循最小必要原则。比如报表应用只需要
SELECT，就别给DELETE；后台管理模块才额外授权写权限
防火墙补一层：哪怕监听 localhost 也不妨加规则
内核级网络栈存在绕过风险（比如某些容器网络模式、或本地恶意进程伪造 loopback 流量），用主机防火墙再拦一次成本极低，且能覆盖误配场景。
- Ubuntu/Debian（ufw）：
sudo ufw deny from any to any port 3306，再sudo ufw allow from 127.0.0.1 to any port 3306 - CentOS/RHEL（firewalld）：
sudo firewall-cmd --permanent --remove-service=mysql，然后只放行本地：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="127.0.0.1" port port="3306" protocol="tcp" accept' - 注意：Docker 容器若通过
--network host模式运行，防火墙规则仍生效；但若用自定义 bridge 网络，需额外在容器内或宿主机 iptables FORWARD 链处理
应用连接字符串里别写死 root 密码
配置文件或环境变量中明文存数据库凭证，等于把钥匙挂在门把手上。一旦服务器被入侵或配置泄漏（比如 GitHub 误提交、日志打印），攻击者立刻拿到高权限账号。
- 禁止在代码或
.env文件里出现DB_PASSWORD=root123这类写法；改用密钥管理服务（如 HashiCorp Vault、AWS Secrets Manager）或操作系统级凭据存储（Linuxlibsecret、macOS Keychain） - 若必须本地存储，至少用文件权限锁死：
chmod 600 /etc/myapp/db-creds.json，并确保应用以非 root 用户运行，避免越权读取 - 连接字符串中的
host字段务必写127.0.0.1而非localhost（尤其 MySQL）：前者走 TCP，受bind_address控制；后者在某些驱动中会优先走 Unix socket，绕过网络层限制
监听范围收缩只是基础一环，真正容易被忽略的是权限粒度和凭证生命周期——一个被遗忘的测试账号、一段残留的调试代码、甚至开发机上未清理的 .git/config 里藏着的 DB_URL，都可能让前面所有配置形同虚设。
