为什么不能直接用 root 连接应用
MySQL 的
root账户默认拥有所有权限，包括
DROP DATABASE、
SHUTDOWN、修改系统变量等高危操作。一旦应用代码存在 SQL 注入漏洞，或配置文件意外泄露（比如被误传到 GitHub），攻击者就能直接执行任意命令，删库、提权、导出敏感数据一气呵成。
真实案例中，不少运维在开发环境图省事用
root@localhost写进 Django 的
DATABASES配置，结果测试服务器被扫描到后 3 分钟内数据库清空——不是因为黑客多强，而是因为
root权限没做切割。 应用连接应使用专用账号，只授予
SELECT、
INSERT、
UPDATE、
DELETE等必要权限，且限定在具体数据库（如
GRANT SELECT ON myapp.* TO 'myapp_user'@'192.168.1.%'） 禁止给应用账号授予
GRANT OPTION、
CREATE USER、
PROCESS或
FILE权限 本地调试时也别用
root；可用
CREATE USER 'dev'@'localhost' IDENTIFIED BY 'pwd123'; GRANT ALL ON test_%.* TO 'dev'@'localhost';隔离范围
如何安全地禁用或锁定 root 远程登录
默认安装的 MySQL 往往允许
root@'%'或
root@'192.168.%'远程连接，这是最大风险入口。真正需要远程管理时，应该走跳板机或 SSH 隧道，而不是开放 root 的网络访问。
检查当前 root 登录方式：
SELECT User, Host FROM mysql.user WHERE User = 'root';。如果看到
Host列是
%、
192.168.%或公网 IP，立刻处理。 删除非必要 host 记录：
DROP USER 'root'@'%';（注意：MySQL 8.0+ 必须用
DROP USER，不能只删表） 保留且仅保留
root@localhost（Unix socket 或 127.0.0.1 连接），并确保该账号密码强度足够（至少 12 位含大小写字母+数字+符号） 若必须远程管理，创建独立管理员账号：
CREATE USER 'dba_admin'@'10.10.5.%' IDENTIFIED BY 'strong_pwd_2024!'; GRANT SELECT, INSERT, UPDATE, DELETE, SHOW VIEW ON *.* TO 'dba_admin'@'10.10.5.%' WITH GRANT OPTION;，再通过防火墙限制其来源 IP 段
mysql_secure_installation 不够用，还得手动加固
mysql_secure_installation只能帮你删掉匿名用户、测试库、禁止 root 远程——它不会改密码策略、不会关日志暴露、也不会限制失败登录次数。很多团队运行完这个脚本就以为“安全了”，结果被暴力破解拖库。
关键手动项：
启用密码复杂度插件（MySQL 5.7+）：INSTALL PLUGIN validate_password SONAME 'validate_password.so';，然后设
SET GLOBAL validate_password.policy = STRONG;关闭不必要日志：
SET GLOBAL general_log = OFF;（避免 SQL 明文落盘），生产环境严禁开启
general_log或
slow_query_log到默认路径（如
/var/lib/mysql/） 限制登录失败行为（MySQL 8.0+）：
ALTER USER 'root'@'localhost' FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 24;，防爆破 确认
skip-networking未启用（否则连本地 socket 都断了），但确保
bind-address在
my.cnf中设为
127.0.0.1或内网 IP，而非
0.0.0.0
备份与权限审计不能依赖 root
用
root执行 mysqldump 或物理备份看似方便，实则埋下两个隐患：一是备份脚本若被篡改，可能顺带执行恶意语句；二是备份账号权限过大，一旦泄露等于交出全部钥匙。
更稳妥的做法是创建最小权限备份账号：
CREATE USER 'backup_user'@'localhost' IDENTIFIED BY 'bk_2024_pass!';
GRANT LOCK TABLES, SELECT, SHOW VIEW ON *.* TO 'backup_user'@'localhost';（逻辑备份足够） 若用 xtrabackup 物理备份，则无需 MySQL 权限，直接用系统账号 +
--user=mysql启动，反而更干净 每月用
SELECT User, Host, authentication_string FROM mysql.user;检查账号列表，对比上次基线，快速发现异常新增账号
最常被忽略的一点：应用部署时自动初始化数据库的脚本（比如 Laravel 的
php artisan migrate:fresh）如果用了 root，那每次部署都在重放一次高危操作。应该让部署流程用专用账号，并把 migration 权限严格控制在目标库内。
