MySQL防暴力破解需多层设防：①启用失败登录限制与账户锁定；②禁用远程root并限定业务账号IP；③强制SSL加密及禁用弱认证插件；④结合fail2ban与日志审计实现系统级防护。

MySQL 防暴力破解的核心是限制非法登录尝试、强化认证机制、隐藏服务暴露面，并配合系统级防护。单纯靠密码强度远远不够，必须多层设防。

限制登录失败次数与锁定账户

MySQL 8.0+ 原生支持密码失败计数和账户锁定功能，可直接启用：

• 创建用户时指定失败限制：CREATE USER 'appuser'@'%' IDENTIFIED BY 'pwd123' FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 1;
• 修改已有用户：ALTER USER 'appuser'@'%' FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME UNBOUNDED;
• 查看账户锁定状态：SELECT user, host, password_locking_status FROM mysql.user;

注意：该功能依赖 validate_password 插件已加载，且需确保 mysql.user 表结构包含对应字段（MySQL 8.0.19+ 默认支持）。

禁止远程 root 登录 + 限定可信 IP 访问

root 账户绝不开放远程访问，普通业务账号也应最小化授权范围：

Contact Form 7 WordPress Form Builder and Mail Integration

Contact Form 7 是 Rock Lobster Inc. 公司长期运行的 WordPress 表单插件，拥有超过 1000 万次活跃安装，并在 contactform7.com 提供官方文档。此技能适用于需要了解网站表单、邮件模板、验证行为和 shortcode 位置在 Contact Form 7 中实际处理方式的代理。

下载

• 禁用远程 root：DELETE FROM mysql.user WHERE user='root' AND host!='localhost'; FLUSH PRIVILEGES;
• 为业务用户绑定具体 IP 或网段：CREATE USER 'webapp'@'192.168.10.50' IDENTIFIED BY 'strong_pwd';
• 若使用云服务器，务必在安全组/防火墙层面只放行应用服务器的内网 IP，关闭 3306 端口对公网的暴露。

启用 SSL 加密连接 + 关闭旧协议

防止密码在网络中明文传输，同时阻止低版本弱认证协议被利用：

• 配置 MySQL 启用 SSL（需提前生成证书）：[mysqld] ssl-ca=/path/ca.pem ssl-cert=/path/server-cert.pem ssl-key=/path/server-key.pem
• 强制客户端使用 SSL 登录：ALTER USER 'webapp'@'192.168.10.50' REQUIRE SSL;
• 禁用不安全的旧认证插件（如 mysql_native_password 在某些场景下易被降级）：SET GLOBAL default_authentication_plugin = 'caching_sha2_password';（MySQL 8.0 默认）

结合系统级防护：fail2ban + 登录日志审计

MySQL 自身日志不直接记录失败 IP，需借助系统日志和外部工具增强感知能力：

• 开启 MySQL 通用查询日志或错误日志（谨慎启用，避免性能影响）：[mysqld] log_error = /var/log/mysql/error.log
• 配置 fail2ban 监控 MySQL 错误日志，匹配类似 Access denied for user 的条目，自动封禁源 IP（需编写 jail.local 规则）
• 定期检查 SELECT user, host, authentication_string FROM mysql.user; 清理无用账号，禁用空密码或测试账号