MySQL 数据库安全加固清单：从 SQL 注入防御到服务器纵深防护

在 Web 安全体系中，数据库往往是攻击者的终极目标。一旦 MySQL 被攻破，攻击者不仅能窃取敏感数据，还可能通过数据库功能进一步渗透服务器。本文从 SQL 注入防御、XSS 协同防护和 Linux 服务器加固三个维度，整理一份可直接落地的 MySQL 安全加固清单。

一、MySQL 防止 SQL 注入的几种写法

SQL 注入长期位居 OWASP Top 10 前列，其本质是应用程序将用户输入直接拼接到 SQL 语句中，导致输入被数据库当作代码执行。以下是几种有效的防御写法。

1. 参数化查询（预处理语句）

这是防御 SQL 注入最根本的手段。以 PHP PDO 为例：

$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email AND status = :status');
$stmt->execute(['email' => $email, 'status' => 'active']);

Java 中使用 PreparedStatement、Python 中使用 cursor.execute 配合占位符，原理相同。关键在于：SQL 语句的结构在编译阶段就已确定，用户输入永远只能作为数据参与查询，无法改变语句语义。

2. 使用 ORM 框架

Laravel 的 Eloquent、Django ORM、Hibernate 等框架默认使用参数化查询。例如：

User::where('email', $email)->first();

ORM 能大幅减少手写 SQL 的机会，但要注意：使用原生查询方法（如 whereRaw）时仍需手动绑定参数，否则同样存在注入风险。

3. 输入验证与白名单

对于无法参数化的场景（如动态表名、排序字段），必须使用严格白名单：

$allowed = ['created_at', 'username', 'email'];
$orderBy = in_array($_GET['sort'], $allowed) ? $_GET['sort'] : 'created_at';

绝不要将用户输入直接用于 ORDER BY、LIMIT、表名或列名。

4. 最小权限原则

为应用创建专用数据库账户，仅授予必要权限：

CREATE USER 'app_user'@'10.0.1.%' IDENTIFIED BY '强密码';
GRANT SELECT, INSERT, UPDATE, DELETE ON app_db.* TO 'app_user'@'10.0.1.%';

避免使用 root 或具有 FILE、DROP 权限的账户连接应用。这样即使发生注入，攻击者能造成的破坏也被限制在最小范围。

5. 其他辅助措施

• 关闭错误详情回显，避免泄露表结构；
• 对特殊字符进行转义（如 mysqli_real_escape_string），但仅作为补充手段；
• 部署 WAF 拦截常见注入特征。

二、XSS 的常见方式与前端防御

虽然 XSS 主要影响前端，但它与数据库安全密切相关——存储型 XSS 的恶意脚本正是通过数据库持久化后分发给其他用户的。

常见 XSS 方式

• 反射型：恶意脚本作为请求参数，服务器直接回显在页面中；
• 存储型：脚本被存入数据库（如评论、昵称），所有访问该页面的用户都会中招；
• DOM 型：前端 JavaScript 从 URL 等来源获取数据并写入 DOM，不经过服务器。

前端防御要点

1. 输出编码：根据输出位置（HTML、属性、JS、URL）进行对应编码，这是最核心的防线；
2. 避免危险 API：慎用 innerHTML、document.write、eval，改用 textContent；
3. CSP 内容安全策略：通过响应头限制脚本来源，例如 Content-Security-Policy: default-src 'self'；
4. HttpOnly Cookie：防止脚本读取会话 Cookie，降低 XSS 危害；
5. 输入过滤：对富文本使用成熟的白名单库（如 DOMPurify）进行净化。

后端在将用户数据存入数据库前，也应进行必要的校验和净化，形成纵深防御。

三、Linux 服务器安全加固清单

MySQL 运行在 Linux 之上，服务器本身的安全是数据库安全的基石。

1. 系统与账户

• 及时更新系统补丁：apt update && apt upgrade 或 yum update；
• 禁用 root 远程登录，使用普通用户 + sudo；
• 删除或锁定无用账户，设置强密码策略；
• 配置 SSH 密钥登录，禁用密码认证。

2. 网络与防火墙

• 使用 iptables 或 firewalld 仅开放必要端口；
• MySQL 默认 3306 端口不要对公网开放，仅允许应用服务器 IP 访问；
• 修改 MySQL 默认端口可减少自动化扫描骚扰（非根本手段）；
• 部署 fail2ban 防止暴力破解。

3. MySQL 服务加固

• 执行 mysql_secure_installation，设置 root 密码、移除匿名用户、禁止 root 远程登录；
• 删除 test 数据库和匿名账户；
• 开启慢查询日志和错误日志，便于审计；
• 定期备份，并验证备份可恢复；
• 对敏感数据（如密码）使用 bcrypt 等算法哈希存储，禁止明文。

4. 文件与权限

• 确保 MySQL 数据目录权限为 mysql 用户专属；
• 配置文件 my.cnf 权限设为 600，避免泄露凭据；
• 关闭不必要的文件导入导出功能：local_infile=0。

5. 监控与审计

• 启用 general_log 或 audit 插件记录敏感操作；
• 使用入侵检测工具（如 AIDE）监控文件变更；
• 定期审查数据库账户权限，清理冗余授权。

结语

MySQL 安全加固不是单一措施，而是从代码层（参数化查询）、应用层（XSS 防御）、系统层（Linux 加固）到数据库层（权限最小化）的纵深防御体系。任何一环的缺失都可能成为攻击者的突破口。建议将上述清单转化为定期检查项，结合自动化扫描与人工审计，持续保持数据库的安全水位。

未经允许不得转载：任鹏个人博客 » MySQL 数据库安全加固清单：从 SQL 注入防御到服务器纵深防护