17370845950

通过创建用户并限制主机访问、授予最小必要权限、定期撤销多余权限及使用防火墙隔离，结合MySQL权限管理和网络控制，实现基于最小权限原则的数据库安全访问。

在 MySQL 中，限制用户访问数据库主要通过权限管理和用户账户设置来实现。合理配置可以确保只有授权用户才能访问特定数据库，提升系统安全性。

创建用户并限制访问范围

MySQL 默认允许管理员创建具有特定访问权限的用户。可以通过 CREATE USER 指定用户只能从指定主机连接，从而限制访问来源。

• CREATE USER 'dev_user'@'192.168.1.100' IDENTIFIED BY 'secure_password';

• 这里 'dev_user'@'192.168.1.100' 表示该用户只能从 IP 为 192.168.1.100 的客户端登录，无法从其他地址访问。
• 若只允许本地访问，使用 'username'@'localhost'。

授予最小必要权限

使用 GRANT 命令为用户分配具体数据库或表的权限，避免赋予全局权限（如 ALL PRIVILEGES）。

• GRANT SELECT, INSERT, UPDATE ON app_db.* TO 'dev_user'@'192.168.1.100';

• 这表示用户 dev_user 只能对 app_db 数据库执行查询、插入和更新操作，不能删除数据或修改结构。
• 若只需读取权限，仅授予 SELECT 即可。

撤销多余权限与删除用户

定期审查用户权限，移除不再需要的访问权限或禁用账户。

• 撤销权限：

  REVOKE DELETE ON app_db.* FROM 'dev_user'@'192.168.1.100';

• 删除用户：

  DROP USER 'dev_user'@'192.168.1.100';

• 执行后建议运行

  FLUSH PRIVILEGES;

  确保权限立即生效。

使用防火墙增强网络层限制

除了数据库层面，可在服务器防火墙（如 iptables 或云安全组）中限制访问 MySQL 端口（默认 3306）的 IP 范围。

• 只允许可信 IP 地址连接数据库服务。
• 例如：禁止外部网络直接访问 3306 端口，仅开放内网或跳板机访问。

基本上就这些。通过组合用户绑定主机、精细化授权、定期清理和网络隔离，能有效控制谁可以访问哪个数据库。安全的关键在于最小权限原则和持续管理。