不能只靠 mysql_secure_installation，它只是加固链条中的一环；真正可靠的自动化安装脚本必须分三步走：先改网络层配置（bind-address 和 port），再装服务并初始化，最后补全权限、密码策略、插件等未覆盖项。
直接上结论：不能只靠 mysql_secure_installation，它只是加固链条中的一环；真正可靠的自动化安装脚本，必须分三步走——先改网络层配置（bind-address 和 port），再装服务并初始化，最后补全权限、密码策略、插件等未覆盖项。
为什么必须先配 bind-address 才能启动 MySQL
如果 MySQL 已监听 0.0.0.0:3306，攻击者可能在认证前就建立连接，触发协议握手阶段的漏洞（如 CVE-2015-3152）；mysql_secure_installation 完全不碰网络配置，等它跑完再改配置，中间存在窗口期。
- 必须在首次启动前编辑
/etc/my.cnf或/etc/mysql/mysql.conf.d/mysqld.cnf - 在
[mysqld]段落写死：bind-address = 127.0.0.1（仅本地）或指定内网 IP - 顺手加一行：
port = 3307（避开默认端口扫描） - 改完立刻
sudo systemctl restart mysqld，否则配置不生效 - 验证用：
sudo ss -tlnp | grep :3307，确认监听地址不是*:3307
mysql_secure_installation 非交互执行的稳定方案
管道方式（echo -e "n\ny\ny\ny\ny"）顺序敏感、MySQL 版本一变就崩；生产环境推荐按系统类型选更稳的路径：
- Ubuntu/Debian：用
debconf-set-selections预置响应，再装包echo "mysql-server mysql-server/root_password password YourPass123!" | sudo debconf-set-selectionsecho "mysql-server mysql-server/root_password_again password YourPass123!" | sudo debconf-set-selections - CentOS/RHEL（MySQL ≥ 8.0.28）：直接用
--script-mode参数sudo mysql_secure_installation --script-mode --password=YourPass123! - 旧版 CentOS（MySQL < 8.0.28）：仍可用管道，但必须严格匹配提示顺序，且建议加
timeout 30防卡住
注意：mysql_secure_installation 不会启用 validate_password 插件、不会重命名 root 用户、也不会删掉 test 数据库以外的匿名用户——这些都得脚本里手动补。
基线加固中容易漏掉的 4 个关键项
很多脚本跑完 mysql_secure_installation 就算结束，但审计常卡在这几项：
- 密码强度：必须显式加载插件并设策略
mysql -uroot -pYourPass123! -e "INSTALL PLUGIN validate_password SONAME 'validate_password.so'; SET GLOBAL validate_password_policy=STRONG; SET GLOBAL validate_password_length=12;" - root 用户重命名：
RENAME USER 'root'@'localhost' TO 'adm01'@'localhost'; - 禁用匿名用户：
DELETE FROM mysql.user WHERE User=''; FLUSH PRIVILEGES; - 限制远程 root 登录：
DELETE FROM mysql.user WHERE User='adm01' AND Host!='127.0.0.1'; FLUSH PRIVILEGES;
这些操作必须在 mysql_secure_installation 之后、应用接入之前完成；顺序错了，比如先删匿名用户再跑 mysql_secure_installation，它可能报错退出。
真正的难点不在写命令，而在判断执行时机——网络配置要最早，服务初始化要居中，权限与策略要最晚。任何一步跳过或颠倒，都会让“自动化”变成“自动埋雷”。
