公网直连MySQL迁移极不安全，因暴露3306端口等于公开数据库访问凭证；未加固实例平均12分钟内被暴力破解或利用漏洞植入后门；明文传输、凭据硬编码、无审计构成高危链路；必须启用TLS加密并验证have_ssl=YES，使用专用最小权限账号，导出前完成敏感数据脱敏，并严格控制迁移时间窗口。
为什么公网直连MySQL迁移极不安全
公网暴露MySQL端口（默认3306）等于把数据库钥匙挂在门口。真实攻防演练中，未加固的公网MySQL实例平均在12分钟内被暴力破解或利用CVE-2021-42013等漏洞植入后门。混合云场景下，若直接用mysqldump + 公网IP方式迁移，数据明文传输、认证凭据硬编码、中间节点无审计，三者叠加构成高危链路。
必须启用TLS加密通道而非仅靠防火墙
很多团队误以为加了安全组白名单就安全，但防火墙无法防止流量劫持和中间人窃听。MySQL 5.7+原生支持TLS 1.2+，迁移前必须验证服务端已启用：SHOW VARIABLES LIKE 'have_ssl'; 返回YES才有效。客户端连接时强制指定参数：
mysqldump --ssl-mode=REQUIRED \ --ssl-ca=/path/to/ca.pem \ --ssl-cert=/path/to/client-cert.pem \ --ssl-key=/path/to/client-key.pem \ -h public-ip.example.com -u user db_name > dump.sql
注意：--ssl-mode=VERIFY_IDENTITY比REQUIRED更严格，会校验服务器证书域名，但云数据库如阿里云RDS的公网域名通常为xxx.mysql.rds.aliyuncs.com，需确认CA是否签发该CN。
避免使用root或高权限账号执行迁移
生产环境迁移应遵循最小权限原则。不要用root@'%'账号，而应创建专用迁移账号并限制来源与操作范围：
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
CREATE USER 'migrator'@'%' IDENTIFIED BY 'strong_pass' REQUIRE SSL;GRANT SELECT, LOCK TABLES ON target_db.* TO 'migrator'@'%';-
GRANT REPLICATION CLIENT ON *.* TO 'migrator'@'%';（如需GTID或binlog解析）
迁移完成后立即回收该账号：DROP USER 'migrator'@'%';。若使用NineData等工具，其后台自动创建的临时账号也需确认生命周期是否可控。
敏感数据脱敏必须在导出前完成
公网传输哪怕加密，也无法规避“落盘即泄露”风险——dump文件一旦写入跳板机磁盘，就可能被未授权访问。正确做法是：在源库执行导出时直接脱敏，而非导出后再处理。例如用SELECT子句替换敏感字段：
mysqldump --no-create-info \
-h source-db.internal \
-u migrator -p \
--where="1=1" \
-t users \
--skip-triggers \
--compact \
--result-file=dump_sanitized.sql \
--exec="SELECT id, CONCAT('user_',id) AS username, '***' AS phone, created_at FROM users"关键点：--exec非标准参数，实际需改用SELECT ... INTO OUTFILE配合LOAD DATA INFILE模拟，或借助pt-show-grants生成受限视图再dump。真正落地时，优先考虑在VPC内网完成脱敏，再通过专线/SD-WAN同步加密后的结构化文件。
最易被忽略的是时间窗口控制——即使所有加密和权限都到位，如果迁移任务持续数小时，攻击面暴露时间就成倍放大。务必在业务低峰期执行，并监控SHOW PROCESSLIST中长时间运行的Dump线程，及时终止异常会话。
