禁用MySQL 8.0错误信息回显需设log_error_verbosity=1（8.0.14+）或log_warnings=0（旧版已废弃），配合应用层禁用错误透出及display_errors=Off，方可阻断敏感信息泄露。
禁用 MySQL 8.0 的错误信息回显（服务端层面）
MySQL 本身不“主动泄露”字段名或表结构，但它默认会把详细错误信息（比如 Unknown column 'xxx' in 'field list'）发给客户端——如果应用层又原样输出到网页或日志，攻击者就能拼凑出数据库结构。堵住这路，得从服务端配置入手。
-
log_error_verbosity = 1是 MySQL 8.0.14+ 的关键开关，它让错误日志只记录ERROR级别，跳过WARNING和 SQL 语句上下文；旧版本可设log_warnings = 0（注意该参数在 8.0 已废弃，仅兼容） - 别碰
sql_mode = STRICT_TRANS_TABLES：它控制数据写入校验，和错误回显完全无关 -
show_errors不是合法配置项，my.cnf 里加了也没用，还会导致启动失败 -
secure_file_priv管的是LOAD DATA INFILE路径限制，关不关它不影响错误信息是否可见
关闭 PHP 驱动的错误透出（应用层必须做）
光改 MySQL 配置远远不够。PHP 的 MySQLi 或 PDO 默认可能把完整 SQL、错误码、甚至堆栈直接抛出来，尤其老项目常开 MYSQLI_REPORT_STRICT 或 PDO::ERRMODE_EXCEPTION，等于把钥匙塞给攻击者。
- MySQLi：执行
mysqli_report(MYSQLI_REPORT_OFF)最干净；若需调试，至少降级为MYSQLI_REPORT_ERROR（报错但不带原始 SQL） - PDO：必须设
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_SILENT)；PDO::ERRMODE_WARNING可写日志但不抛出，也比异常模式安全 - 同时确认 PHP 配置中
display_errors = Off生效，否则哪怕 PDO 静默，PHP 自身的Warning还是会打到 HTML 响应体里
别混淆 “安全模式” 和 “错误回显”
看到 Error Code: 1175 或 sql_safe_updates=0？那是 MySQL 的安全更新模式（防止无 KEY 的 UPDATE/DELETE），和错误信息泄露毫无关系。同样，sql_mode 控制的是语法兼容性与数据校验行为，比如 STRICT_TRANS_TABLES 会让插入超长字符串直接报错，但它不会让错误内容更详细或更模糊。
- 禁用错误回显 ≠ 禁用
sql_safe_updates - 禁用错误回显 ≠ 清空
sql_mode - 这两类配置目标不同、生效位置不同、影响范围也不同，混着调容易白忙活
真正容易被忽略的点
很多人改完 log_error_verbosity 就以为万事大吉，但忘了慢查询日志（slow_query_log）、通用日志（general_log）也可能记录含敏感字段名的完整 SQL。只要这些日志文件权限没收紧（比如属主不是 mysql:mysql、权限不是 660），或者被运维误发、误同步，照样构成泄露路径。错误信息的防御是端到端的，服务端配置只是其中一环，且必须和应用层、日志管理、文件权限一起闭环。
