服务器用户与权限管理的核心是“分权、最小化、可审计”，Linux用用户+组+sudo分层控制，MySQL按需授权禁用通配符主机，SQL Server慎用固定角色、优先用户定义角色，所有系统均须落实审批流程、密码策略与日志审计。

服务器用户与权限管理的核心是“分权、最小化、可审计”——不给多余权限，不让越界操作，所有变更留痕可查。不同系统（Linux、MySQL、SQL Server）实现方式不同，但逻辑一致：先建身份（用户/角色），再定边界（权限），最后控行为（登录、执行、日志）。

Linux 系统：用用户+组+sudo 分层控制

普通用户默认只能操作自己家目录；敏感操作必须提权。关键不是禁用 root，而是管住谁能在何时做什么：

• 创建专用运维账号（如 ops-admin），不直接用 root 登录；用 useradd -m -G wheel ops-admin 加入 sudo 组
• 限制 sudo 权限：编辑 /etc/sudoers（用 visudo），例如只允许重启 nginx：ops-admin ALL=(ALL) /bin/systemctl restart nginx
• 程序服务用低权限账户运行（如 www-data 或自定义 app-user），UID 设为 100–999，禁止交互式登录（/sbin/nologin）
• 敏感目录（如 /etc/nginx）设属组为 nginx-admin，并用 chmod 750 控制组内读写、他人无权访问

MySQL：按需授权，禁用通配符主机

root 不该用于日常连接，应用和开发人员应使用限定权限的账号：

宝塔Linux面板11.3.0

宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。

下载

• 创建用户时明确指定 host：CREATE USER 'app_rw'@'10.20.30.%' IDENTIFIED BY 'pwd123';（避免用 '%' 允许任意 IP）
• 只授必要权限：GRANT SELECT, INSERT, UPDATE ON mydb.orders TO 'app_rw'@'10.20.30.%';（不给 DROP、ALTER、FILE 等高危权限）
• 用角色统一管理权限（MySQL 8.0+）：CREATE ROLE 'reporter'; GRANT SELECT ON mydb.* TO 'reporter'; GRANT 'reporter' TO 'analyst'@'%';
• 定期清理闲置账号：DROP USER IF EXISTS 'temp_dev'@'%';，并检查 SELECT host,user,account_locked FROM mysql.user;

SQL Server：固定角色慎用，优先走用户定义角色

sysadmin 权限等于交出整台服务器，生产环境应避免直接分配：

• 禁用 sa 账号或设强密码，并启用登录失败锁定策略
• 用 securityadmin 角色管理登录和用户，但不赋予数据库级权限；用 db_datareader/db_datawriter 等数据库角色代替
• SQL Server 2012+ 推荐创建用户定义服务器角色：CREATE SERVER ROLE app_deploy; ALTER SERVER ROLE app_deploy ADD MEMBER [svc-deploy]; GRANT ALTER ANY DATABASE TO app_deploy;
• 服务账户必须是专用域账户（非个人账号），并在 Windows 服务管理器中配置为该账户运行，确保权限隔离

通用原则：落地才有效

再好的设计，不执行就是摆设。真正起作用的是这几条硬约束：

• 所有新用户必须由审批流程发起，记录用途、有效期、负责人
• 密码策略强制：MySQL 启用 default_password_lifetime = 90；Linux 配置 /etc/login.defs 中的 PASS_MAX_DAYS
• 关键操作留日志：MySQL 开启 general_log（临时排查）或 audit log 插件；Linux 审计规则用 auditctl -w /etc/passwd -p wa -k usermod
• 每季度做权限复核：导出当前用户列表、权限清单，比对是否仍符合岗位职责