修改默认 root 密码并禁用空密码登录
MySQL 安装后默认
root用户常为空密码或仅本地访问，但若未显式设置，极易被暴力破解或本地提权。必须在初始化后立即重置密码，并确认认证方式不为
auth_socket（Ubuntu/Debian 默认），否则
SET PASSWORD会静默失败。 连接时强制使用密码：
mysql -u root -p进入后检查当前认证插件：
SELECT user, host, plugin FROM mysql.user WHERE user = 'root';若
plugin是
auth_socket，需先切为
mysql_native_password：
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'StrongPass123!';刷新权限：
FLUSH PRIVILEGES;
限制 root 远程访问并创建最小权限专用账户
生产环境绝不能开放
root@'%'，也不建议长期使用
root@localhost执行业务操作。应分离管理账户与应用账户，按需授权。 删除任意主机的 root 记录（如果存在）：
DROP USER 'root'@'%';新建应用账户（如用于 WordPress）：
CREATE USER 'wp_app'@'localhost' IDENTIFIED BY 'AppPass456!';仅授予必要库表权限：
GRANT SELECT, INSERT, UPDATE ON `wordpress`.* TO 'wp_app'@'localhost';禁止该用户拥有
GRANT OPTION或全局权限，避免权限扩散
关闭危险配置项：secure_file_priv、local_infile、symbolic-links
这些选项一旦开启，可能成为文件读写类漏洞的入口，尤其在 Web 应用存在 SQL 注入时风险极高。
检查当前值：SHOW VARIABLES LIKE 'secure_file_priv';若返回非
NULL或空字符串，说明允许导入导出文件 在
my.cnf的
[mysqld]段强制禁用：
secure_file_priv = ""<br>local_infile = OFF<br>symbolic_links = OFF重启 MySQL 后验证：
SELECT @@local_infile;应返回
OFF注意：
secure_file_priv = ""表示完全禁用
LOAD DATA INFILE和
SELECT ... INTO OUTFILE，比设为
/tmp更安全
启用错误日志审计并限制错误信息泄露
MySQL 默认错误日志不记录 SQL 语句本身，但客户端连接失败、权限拒绝等事件仍可暴露账户名、IP、甚至部分查询结构。Web 错误页若直接输出 MySQL 报错（如
Access denied for user...），等于帮攻击者做信息收集。 确保
log_error已启用（默认开启），路径通常为
/var/log/mysql/error.log禁用客户端显示详细错误：
SET GLOBAL log_warnings = 2;（MySQL 5.7+ 支持更细粒度警告日志） 在应用层捕获
mysqli_connect_error()或
mysql.connector.Error，统一返回模糊提示，例如“服务暂时不可用”，而非原始 MySQL 错误消息 定期轮转日志，防止磁盘占满：
logrotate配合
mysqladmin flush-logs
实际部署中，最常被跳过的一步是验证
plugin类型和
secure_file_priv状态——它们不会报错，但会让前面所有密码和权限操作形同虚设。
