防止SQL注入的配置调整_限制数据库服务监听范围-SQL-PHP中文网

最有效措施是将数据库绑定至127.0.0.1并限制超级用户远程登录。需修改mysql的bind_address或postgresql的listen_addresses为localhost，禁用root@'%'等远程高权账户，创建最小权限应用用户，配合防火墙仅允127.0.0.1访问，并杜绝明文存储凭证。

防止sql注入的配置调整_限制数据库服务监听范围

只让数据库监听本地回环地址

绝大多数应用和数据库部署在同一台机器时，根本不需要数据库对外网开放。直接把 bind_address 改成 127.0.0.1 是最简单有效的网络层隔离手段。

MySQL 默认配置（尤其在较新版本）可能设为 bind_address = * 或 0.0.0.0，这等于把端口完全暴露在所有网卡上。PostgreSQL 的 listen_addresses 默认值也常是 'localhost'（安全），但被手动改成 '*' 后就危险了。

MySQL：编辑 /etc/mysql/mysql.conf.d/mysqld.cnf，找到 bind_address 行，改为 bind_address = 127.0.0.1；改完必须重启服务：sudo systemctl restart mysql
PostgreSQL：修改 /etc/postgresql/*/main/postgresql.conf 中的 listen_addresses = 'localhost'（确认没多出空格或引号错误），再检查 pg_hba.conf 是否只允许 local 和 host localhost 规则
改完立刻用 netstat -tlnp | grep :3306（MySQL）或 netstat -tlnp | grep :5432（PostgreSQL）验证监听地址是否已变成 127.0.0.1:3306，而非 *:3306

禁用数据库远程 root 或超级用户登录

即使监听范围收窄了，如果应用连接时仍复用 root、postgres 这类默认超级账户，一旦应用层 SQL 拼接漏洞被触发，攻击者就能执行任意命令，包括读取系统文件、写入 Webshell。

MySQL：运行 DROP USER 'root'@'%';（删除远程 root），保留 'root'@'localhost' 仅用于本地维护；为应用单独建用户：CREATE USER 'appuser'@'localhost' IDENTIFIED BY 'strong-pass';，再用 GRANT SELECT,INSERT,UPDATE ON mydb.* TO 'appuser'@'localhost';
PostgreSQL：不要让应用连 postgres 用户。用 CREATE ROLE appuser WITH LOGIN PASSWORD 'strong-pass';，再 GRANT USAGE ON SCHEMA public TO appuser; 和细粒度 GRANT SELECT ON TABLE users TO appuser;
关键点：权限必须遵循最小必要原则。比如报表应用只需要 SELECT，就别给 DELETE；后台管理模块才额外授权写权限

防火墙补一层：哪怕监听 localhost 也不妨加规则

内核级网络栈存在绕过风险（比如某些容器网络模式、或本地恶意进程伪造 loopback 流量），用主机防火墙再拦一次成本极低，且能覆盖误配场景。

Ubuntu/Debian（ufw）：sudo ufw deny from any to any port 3306，再 sudo ufw allow from 127.0.0.1 to any port 3306
CentOS/RHEL（firewalld）：sudo firewall-cmd --permanent --remove-service=mysql，然后只放行本地：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="127.0.0.1" port port="3306" protocol="tcp" accept'
注意：Docker 容器若通过 --network host 模式运行，防火墙规则仍生效；但若用自定义 bridge 网络，需额外在容器内或宿主机 iptables FORWARD 链处理

应用连接字符串里别写死 root 密码

配置文件或环境变量中明文存数据库凭证，等于把钥匙挂在门把手上。一旦服务器被入侵或配置泄漏（比如 GitHub 误提交、日志打印），攻击者立刻拿到高权限账号。

禁止在代码或 .env 文件里出现 DB_PASSWORD=root123 这类写法；改用密钥管理服务（如 HashiCorp Vault、AWS Secrets Manager）或操作系统级凭据存储（Linux libsecret、macOS Keychain）
若必须本地存储，至少用文件权限锁死：chmod 600 /etc/myapp/db-creds.json，并确保应用以非 root 用户运行，避免越权读取
连接字符串中的 host 字段务必写 127.0.0.1 而非 localhost（尤其 MySQL）：前者走 TCP，受 bind_address 控制；后者在某些驱动中会优先走 Unix socket，绕过网络层限制