禁止SELECT INTO OUTFILE权限是最直接防线，需撤销FILE权限、配置secure_file_priv限制目录、客户端启用safe-updates并标识环境，结合网络隔离与审计实现分层防护。
禁止 SELECT INTO OUTFILE 权限是最直接有效的第一道防线
MySQL 默认不开启导出到文件能力，必须显式授予 SELECT INTO OUTFILE 权限。只要生产库账号没这个权限，哪怕用户连上了，执行 SELECT ... INTO OUTFILE 也会报错：ERROR 1290 (HY000): The MySQL server is running with the --secure-file-priv option so it cannot execute this statement 或更明确的 ERROR 1045 (28000): Access denied for user ... using password: YES。
实操建议：
Mysql Skill 1.0.0 (3)
下载
MySQL 数据库管理技能，能够通过自然语言查询和管理数据库，支持 SELECT/INSERT/UPDATE/DELETE、表管理、备份恢复等操作。当用户提及 MySQL、数据库查询、建表或数据备份时使用此技能。
- 建生产只读账号时，用
GRANT SELECT ON prod_db.* TO 'app-prod-ro'@'%';，**不加WITH GRANT OPTION，也不额外授FILE权限**（FILE是SELECT INTO OUTFILE的底层依赖） - 检查现有账号是否误带权限：
SHOW GRANTS FOR 'dev-user'@'%';，重点看输出里有没有FILE - CI/CD 流水线中可加校验脚本：连接后立即执行
SELECT COUNT(*) FROM information_schema.role_table_grants WHERE grantee LIKE '%prod%' AND privilege_type = 'FILE';，非零则中断发布
限制 secure_file_priv 目录并关闭写入能力
secure_file_priv 是 MySQL 服务端硬性开关，它规定了 INTO OUTFILE 和 LOAD DATA INFILE 只能操作的目录。即使账号有 FILE 权限，如果该变量值为空或指向一个不可写路径，导出仍会失败。
实操建议：
- 在
my.cnf中显式配置：secure_file_priv = /var/lib/mysql-files/（不要留空或设为/） - 确保该目录仅由
mysql用户可写：chown mysql:mysql /var/lib/mysql-files/ && chmod 700 /var/lib/mysql-files/ - 验证生效：
mysql -e "SHOW VARIABLES LIKE 'secure_file_priv';"，返回值必须是非空且合理路径 - 注意：修改后需重启 MySQL；若设为
NULL，则完全禁用所有文件导入导出功能（包括备份工具依赖的LOAD DATA）
客户端侧强制启用 safe-updates 模式 + 连接串环境标识
很多事故不是靠“导出”完成的，而是先 SELECT * 查数据，再手动复制粘贴到 Excel——这绕过了权限控制，但风险极高。这时候靠客户端行为约束更实际。
实操建议：
- 所有研发人员本地 MySQL 客户端（
mysql命令行、DBeaver、Navicat）必须启用--safe-updates（或等效设置），这样任意UPDATE/DELETE都要求带WHERE，同时SELECT默认限制返回 1000 行（防大结果集卡死） - 开发机终端提示符或 IDE 标签页必须带环境标识，比如 PS1 设置为
\u@\h:prod$或使用不同颜色背景。连接串 host 必须是语义化域名，如mysql-prod.example.com，而非10.10.10.10——DNS 解析失败比连错库更容易被发现 - 禁止在代码或脚本里硬写生产连接参数；
.env文件必须.gitignore，且 CI 中禁止传入包含prod字样的变量名
真正管用的是权限分层 + 网络隔离，不是靠“堵工具”
技术上永远无法 100% 防住有 root 权限的人导出数据——他可以直接读取 ibd 文件或 mysqldump 进程内存。所以防御重心不在“能不能导”，而在“谁能在什么条件下导、导多少、导了有没有记录”。
关键点：
- 生产数据库服务器和应用服务器必须跨网络段部署，数据库所在机器禁止开放 SSH 给研发；运维跳板机需开启操作审计（如
auditd+ 日志中心） - 对敏感表（如
user、order）单独建视图，字段脱敏后授予研发只读账号，避免原始数据暴露 - 所有连接都走代理（如 ProxySQL 或自研网关），记录完整 SQL 日志，重点审计含
INTO OUTFILE、SELECT.*FROM.*WHERE.*LIMIT、大结果集返回的会话 - 最常被忽略的一点：
mysqldump本身不需要FILE权限，它走的是普通查询通道。所以真正要防的不是“导出命令”，而是“谁被允许连生产库+查哪些表+查多少行”
