应用直连MySQL root账号是高危操作，因root拥有DROP DATABASE、SHUTDOWN、FILE、PROCESS等高危权限，一旦遭遇SQL注入、配置泄露或日志暴露，攻击者可直接删库、读取系统文件、窃取敏感数据甚至提权操作系统；真实案例中大量清库事故源于root@'%'开放且密码薄弱，扫描器即可入侵。
为什么应用直连 MySQL root 账号是高危操作
因为 root 拥有 DROP DATABASE、SHUTDOWN、FILE、PROCESS 等权限，一旦应用存在 SQL 注入、配置文件误传（比如推到 GitHub）、日志泄露或中间件漏洞，攻击者就能直接删库、读取系统文件、查看其他连接的明文 SQL，甚至提权到操作系统层。真实案例里，不少清库事故不是黑客多强，而是 root@'%' 账号开着且密码弱，扫描器一扫就进。
如何快速创建并切换到最小权限专用账号
别改 root 密码，先让应用用不上它。以下命令在 MySQL 8.0+ 中直接生效：
CREATE USER 'app_api'@'192.168.5.%' IDENTIFIED BY 'StrongP@ss2026!';GRANT SELECT, INSERT, UPDATE, DELETE ON myapp_db.* TO 'app_api'@'192.168.5.%';REVOKE FILE, SHUTDOWN, SUPER, GRANT OPTION ON *.* FROM 'app_api'@'192.168.5.%';FLUSH PRIVILEGES;
注意：GRANT 后必须指定数据库名（如 myapp_db.*），不能写 *.*；Host 部分尽量用内网 IP 段（如 '192.168.5.%'），避免用 '%'；REVOKE 要显式剔除高危权限，MySQL 不会自动继承“未授予即禁止”。
怎样彻底锁死 root 远程登录入口
检查当前 root 允许从哪些地址登录：
SELECT User, Host FROM mysql.user WHERE User = 'root';
如果看到 root@'%'、root@'192.168.0.%' 或公网 IP，立刻清理：
-
DROP USER 'root'@'%';（MySQL 8.0+ 必须用DROP USER，删表无效） DROP USER 'root'@'192.168.0.%';
只保留 root@'localhost'（Unix socket 或 127.0.0.1），并确认其密码强度 ≥12 位含大小写字母+数字+符号。再配合操作系统级限制：在 /etc/mysql/mysql.conf.d/mysqld.cnf 中确保 bind-address = 127.0.0.1，这样即使 root@'localhost' 存在，也无法被 TCP 连接命中，只能走本地 socket。
容易被忽略的加固点：权限缓存与插件行为
MySQL 8.0+ 使用 caching_sha2_password 插件后，直接 UPDATE mysql.user 表不会生效，重启或 FLUSH PRIVILEGES 后就丢失——这不是 bug，是设计。所有权限变更必须走 CREATE USER / GRANT / REVOKE 语句。另外，root@'localhost' 的权限其实可以比默认 ALL PRIVILEGES 更窄：比如备份只需 RELOAD + LOCK TABLES + 库级 SELECT，完全不需要 FILE 或 PROCESS。真正难的不是执行命令，而是意识到：权限控制的关键不在“能不能”，而在“在什么网络上下文里能”。
