{"position":0,"title":"介绍","layout":"doc-fullscreen","text":"## 介绍nn在本实验中，你将学习如何提升 MySQL 数据库安全性，并掌握保护数据库服务器的常见方法。我们将介绍多项关键的 MySQL 安全最佳实践，包括为 `root` 用户设置强密码、基于最小权限原则创建专用数据库用户、管理用户权限，以及检查并删除匿名账户。完成本实验后，你将更深入地理解如何加固 MySQL 服务器，降低常见安全漏洞带来的风险。n","need_verify":false,"has_solution":false},{"position":1,"title":"保护 Root 账户","layout":"doc-workbench-split","text":"## 保护 Root 账户nn默认情况下，MySQL 安装通常允许 `root` 用户从本地机器直接连接，而且可能无需输入密码。加强 MySQL 安全的第一步，就是为 `root` 账户设置一个高强度密码。nn首先，从你的桌面打开终端。nn以 `root` 用户身份连接到 MySQL 服务器。在本实验环境中，你可以使用 `sudo` 直接连接，而不需要先输入密码。nn```bashnsudo mysql -u rootn```nn连接成功后，你将看到 MySQL 提示符 (`mysql>`)。nn现在，为 `root` 用户设置密码。`ALTER USER` 语句可用于修改 MySQL 用户账户信息。请将 `YourStrongPassword!` 替换为你自己设置的安全密码。nn```sqlnALTER USER 'root'@'localhost' IDENTIFIED BY 'YourStrongPassword!';n```nn此命令会为从 `localhost` 连接的 `root` 用户设置密码。执行成功后，你应该看到如下输出，表示命令已正确完成：nn```nQuery OK, 0 rows affected (0.01 sec)n```nn接下来，使用 `FLUSH PRIVILEGES` 命令立即刷新并应用权限变更。nn```sqlnFLUSH PRIVILEGES;n```nn输出将是：nn```nQuery OK, 0 rows affected (0.00 sec)n```nn至此，你已成功为 `root` 用户设置密码。虽然你仍然可以通过 `sudo mysql -u root` 连接数据库，但任何直接使用 `mysql -u root -p` 的登录方式，现在都必须输入你刚刚设置的密码。这是提升 MySQL 数据库安全性的关键第一步。n","need_verify":true,"has_solution":false},{"position":2,"title":"创建专用用户和数据库","layout":"doc-workbench-split","text":"## 创建专用用户和数据库nn在实际应用中，直接使用 `root` 账户连接数据库存在较大安全风险，因为它拥有几乎无限的权限。更推荐的 MySQL 安全做法是：为每个应用程序创建权限受限的专用用户。在这一步中，你将创建一个新数据库，以及一个仅对该数据库具备访问权限的用户。nn现在，为你的应用程序创建一个新数据库。这里我们将其命名为 `app_db`。nn```sqlnCREATE DATABASE app_db;n```nn你应该看到如下确认信息：nn```nQuery OK, 1 row affected (0.01 sec)n```nn接下来，创建一个供应用程序连接数据库使用的新用户。我们将该用户命名为 `app_user`，并为其设置密码。nn```sqlnCREATE USER 'app_user'@'localhost' IDENTIFIED BY 'UserPassword123';n```nn输出将是：nn```nQuery OK, 0 rows affected (0.01 sec)n```nn现在，为 `app_user` 授予所需权限。在这个示例中，我们为其授予 `app_db` 数据库下所有表的 `SELECT` 和 `INSERT` 权限。这正是最小权限原则的体现，即只赋予用户完成工作所必需的数据库权限。nn```sqlnGRANT SELECT, INSERT ON app_db.* TO 'app_user'@'localhost';n```nn通过刷新权限来应用更改。nn```sqlnFLUSH PRIVILEGES;n```nn你可以通过运行以下命令，验证刚刚授予给该用户的权限：nn```sqlnSHOW GRANTS FOR 'app_user'@'localhost';n```nn输出将显示 `app_user` 当前拥有的具体权限：nn```n+------------------------------------------------------------------+n| Grants for app_user@localhost |n+------------------------------------------------------------------+n| GRANT USAGE ON *.* TO `app_user`@`localhost` |n| GRANT SELECT, INSERT ON `app_db`.* TO `app_user`@`localhost` |n+------------------------------------------------------------------+n2 rows in set (0.00 sec)n```nn你已成功创建了一个专用数据库以及对应的应用用户，并为其分配了合适的访问权限。n","need_verify":true,"has_solution":false},{"position":3,"title":"管理用户权限","layout":"doc-workbench-split","text":"## 管理用户权限nn随着应用程序需求的变化，你可能需要及时调整数据库用户权限。在这一步中，你将通过撤销 `app_user` 的部分现有权限，练习如何进行 MySQL 用户权限管理。nn假设 `app_user` 现在只需要读取数据，也就是保留 `SELECT` 权限，而不再允许写入新数据，因此需要撤销 `INSERT` 权限。nn使用 `REVOKE` 语句，从 `app_db` 数据库上的 `app_user` 撤销 `INSERT` 权限。nn```sqlnREVOKE INSERT ON app_db.* FROM 'app_user'@'localhost';n```nn你将看到以下确认信息：nn```nQuery OK, 0 rows affected (0.00 sec)n```nn通过刷新权限来应用更改。nn```sqlnFLUSH PRIVILEGES;n```nn现在，通过再次检查该用户的权限，验证权限是否已经成功撤销。nn```sqlnSHOW GRANTS FOR 'app_user'@'localhost';n```nn输出现在应该显示 `app_user` 仅对 `app_db` 拥有 `SELECT` 权限，原有的 `INSERT` 权限已被移除。nn```n+--------------------------------------------------------------+n| Grants for app_user@localhost |n+--------------------------+------------------------------------\n| GRANT USAGE ON *.* TO `app_user`@`localhost`\n| GRANT SELECT ON `app_db`.* TO `app_user`@`localhost`\n+--------------------------------------------------------------\n2 rows in set (0.00 sec)\n\n这段输出说明，用户权限已经根据当前业务需要完成调整，更符合数据库安全管理的要求。\n\n## 移除匿名用户账户\n\n在默认配置中，某些 MySQL 安装可能会创建匿名用户账户，也就是用户名为空的账户。这类账户会带来明显的安全风险，因为它们可能为未授权访问留下入口。因此，检查匿名账户是否存在，并在发现后及时删除，是提升 MySQL 安全性的重要步骤。\n\n要识别匿名用户，可以直接查询 `mysql.user` 表，筛选用户名为空的记录。\n\n```sql\nSELECT User, Host FROM mysql.user WHERE User = '';\n```\n\n如果系统中确实存在匿名用户，这条查询会将其列出。例如，在某些 Ubuntu 的初始安装环境中，可能会看到相关记录；不过在较新的 MySQL 或 MariaDB 版本中，默认通常已经不再创建匿名账户。\n\n如果你看到类似下面这样的结果：\n\n```n\n+------+-----------+\n| User | Host |\n+------+-----------+\n| | localhost |\n+------+-----------+n1 row in set (0.00 sec)n```nn那么你应该使用 `DROP USER` 语句删除匿名用户，并明确指定用户名为空字符串 `''` 以及对应主机：nn```sqlnDROP USER ''@'localhost';n```nn你应该看到此确认信息：nn```nQuery OK, 0 rows affected (0.01 sec)n```nn但是，如果你的查询返回一个空集，如下所示：nn```nEmpty set (0.00 sec)n```nn这表示你的数据库中不存在匿名用户，当前配置已经较为安全。在这种情况下，如果你尝试删除一个并不存在的匿名用户，系统会返回如下错误：nn```nERROR 1396 (HY000): Operation DROP USER failed for ''@'localhost'n```nn如果匿名用户不存在，这个错误属于正常现象，你可以放心继续后续操作。nn在检查匿名用户并按需删除之后，刷新权限以确保所有修改都已立即生效：nn```sqlnFLUSH PRIVILEGES;n```nn然后，再次运行 `SELECT` 查询来确认系统中已经没有匿名用户：nn```sqlnSELECT User, Host FROM mysql.user WHERE User = '';n```nn该查询应返回一个空集，表示匿名用户已经不存在：nn```nEmpty set (0.00 sec)n```nn你已成功检查并处理了服务器中的一项潜在安全隐患。现在你可以退出 MySQL shell。nn```sqlnexit;n```n","need_verify":true,"has_solution":false},{"position":5,"title":"总结","layout":"doc-fullscreen","text":"## 总结\n\n通过这次实验，你已经掌握并实践了多项关键的 MySQL 安全最佳实践：为 `root` 账户设置密码、按照最小权限原则创建权限受限的专用应用用户、通过撤销权限来灵活管理数据库访问，以及排查并处理可能存在的匿名用户账户。\n\n这些基础但非常重要的安全措施，是保障 MySQL 数据库安全的第一道防线。正确落实后，不仅能够显著提升 MySQL 服务器的整体安全性，还能更有效地防止未授权访问、权限滥用以及其他潜在安全威胁。"}