MySQL 默认安装后安全性较弱，需手动加固。核心是限制访问、最小权限、加密通信和日志审计四个方向。
修改默认 root 密码并禁用空密码登录
安装后 root 用户常为空密码或仅本地可登录，必须立即设置强密码。若仍能免密登录，说明 auth_socket 插件在起作用（常见于 Ubuntu/Debian 的 MySQL 5.7+）。
登录 MySQL：使用 sudo mysql -u root（系统级 root 权限临时绕过） 切换认证方式并设密：ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'YourStrongPass123!'; 刷新权限：FLUSH PRIVILEGES; 退出后测试：mysql -u root -p，确认需密码且旧空密码失效
删除默认匿名用户与测试库
MySQL 初始化会创建匿名用户（''@'localhost'）和 test 库，属于典型攻击入口。
查看当前用户：SELECT User, Host FROM mysql.user; 删匿名用户：DROP USER ''@'localhost'; 删测试库：DROP DATABASE IF EXISTS test; 清理残留权限：DELETE FROM mysql.db WHERE Db='test' OR Db='test\_%'; FLUSH PRIVILEGES;限制远程 root 登录，按需创建专用账号
root 不应从任意主机登录。生产环境建议关闭远程 root，改用普通账号 + 严格 IP 限制 + 最小权限原则。
禁止 root 远程登录：DELETE FROM mysql.user WHERE User='root' AND Host!='localhost'; FLUSH PRIVILEGES; 为应用创建专用账号（示例）：CREATE USER 'appuser'@'192.168.1.100' IDENTIFIED BY 'AppPass456!';
GRANT SELECT, INSERT, UPDATE ON myapp.* TO 'appuser'@'192.168.1.100';
FLUSH PRIVILEGES; 如需远程管理，单独建 admin 账号，限定来源 IP，禁用 DROP/FILE/SUPER 等高危权限
启用强制密码策略与连接加密
防止弱口令和明文传输泄露是基础防线。
启用密码强度校验（MySQL 5.7+）：在 my.cnf 的 [mysqld] 段加入：
validate_password.policy=STRONG
validate_password.length=12
validate_password.mixed_case_count=2
validate_password.number_count=2
validate_password.special_char_count=2 开启 SSL（自签名也可应急）：
启动时加参数 --ssl-mode=REQUIRED，或配置 ssl-ca、ssl-cert、ssl-key；
应用连接字符串中添加 ?ssl-mode=REQUIRED
