最直接有效的沙箱方式是每次测试启动全新Docker容器，需加--rm、显式设MYSQL_ROOT_PASSWORD、错开端口、防重命名，并用临时卷或/dev/null确保数据隔离；离线时可用mysqld --initialize-insecure配合权限与端口配置；单实例下靠数据库名+限定host的用户权限实现轻量隔离；默认配置不安全，须立即加固。
用 Docker 启动干净、可销毁的 MySQL 实例
最直接有效的沙箱方式就是每次测试都拉起一个全新容器——它不共享数据、不复用配置、不污染宿主端口，退出即销毁，天然满足“隔离”需求。
关键不是跑起来，而是避免踩坑：--rm 必须加，否则容器残留；-e MYSQL_ROOT_PASSWORD 必须显式设置，否则 8.0+ 会卡在临时密码生成；端口映射必须错开本机 3306，比如用 -p 3307:3306；容器名要用 --name mysql-sandbox-$(date +%s) 防重名。
-
/dev/null挂载到/var/lib/mysql是占位用的，确保数据目录为空，但不能用于持久化 - 真要保留 schema？改用临时命名卷：
docker volume create tmpvol && -v tmpvol:/var/lib/mysql，但测试完得手动docker volume rm tmpvol - 别用
mysql:latest——行为可能突变，明确指定mysql:8.0.33或mysql:5.7.44
离线无 Docker 时用 mysqld --initialize-insecure
CI 机器没 Docker、旧版 macOS、或需要绕过密码初始化流程时，这个组合最稳：跳过临时密码生成、不写 error log、启动后立刻可连。
但必须满足三个硬条件：目标 datadir 目录为空且权限正确（Linux 用 chown -R mysql:mysql $DATADIR，macOS 用 chown -R _mysql:_mysql $DATADIR）；端口未被占用；显式指定 --port=3307 和 --socket=/tmp/mysql-sandbox.sock 隔离通信面。
- 常见报错
Can't create/write to file '/path/to/data/aria_log_control'就是datadir父目录不存在或权限不对 - 首次启动后立刻执行：
mysql -u root -S /tmp/mysql-sandbox.sock -e "ALTER USER 'root'@'localhost' IDENTIFIED BY 'test';" - 不要省略
@'localhost'——MySQL 8.0 默认创建'root'@'%'和'root'@'localhost'两个账号，只改前者会导致 socket 连接失败
单实例内靠 CREATE DATABASE + 用户 host 限定做轻量隔离
不是所有场景都能起新实例。如果只能共用一个 MySQL 进程，就靠数据库名隔离 + 用户连接来源限制来兜底。
重点不在建库语句本身，而在后续权限绑定：CREATE DATABASE test_app_2024; 只是起点，真正起作用的是 CREATE USER 'app1'@'127.0.0.1' IDENTIFIED BY 'pwd'; GRANT SELECT,INSERT ON test_app_2024.* TO 'app1'@'127.0.0.1'; ——把 host 锁死成 127.0.0.1 而非 %，就能防止跨 sandbox 访问。
- MySQL 8.0.14+ 支持
CREATE DATABASE ... CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_ai_ci，但字符集本身不提供隔离能力 - 务必禁用
GRANT OPTION，否则用户能给自己扩权 - 避免用
GRANT ALL ON *.*或GRANT ALL ON test_app_2024.*，精确到SELECT,INSERT,UPDATE,DELETE四个动词
沙箱 ≠ 安全，默认配置仍需手动加固
很多人以为起了沙箱就万事大吉，其实默认 MySQL 配置远不够安全：root 密码弱、无网络限制、日志不审计、插件未禁用。
哪怕只是临时测试实例，也该在启动后立即执行几条加固命令：DELETE FROM mysql.user WHERE User=''; 清空匿名用户；DELETE FROM mysql.user WHERE Host!='localhost' AND User='root'; 删除远程 root；INSTALL PLUGIN validate_password SONAME 'validate_password.so'; 强制密码复杂度（若镜像含该插件）。
- 沙箱生命周期越短，越容易忽略这些步骤——但攻击者只要 1 秒就能扫到暴露的
3307端口 - 用
mysql -u root -p -h 127.0.0.1 -P 3307测试连接，比用 socket 更贴近真实攻击路径 - 如果沙箱要加载 SQL 文件，优先用
mysql -u root -p -P 3307 ，而非在容器内挂载后 source，避免文件权限问题
