直接 chmod 400 /etc/my.cnf 不够安全，因 mysqld 以 mysql 用户运行且无 root 权限，将无法读取配置导致启动失败；正确做法是 chown root:mysql /etc/my.cnf && chmod 640 /etc/my.cnf，确保 mysql 组可读不可写。
为什么直接 chmod 400 /etc/my.cnf 不够安全
MySQL 启动时会以 mysqld 进程身份读取 my.cnf，但这个进程通常由 mysql 用户运行，而该用户往往没有 root 权限。如果配置文件被设为 400（仅 root 可读），mysqld 就会因权限不足报错退出，典型错误是：Can't read from file '/etc/my.cnf' 或启动日志里出现 Failed to open config file。
真正要防的是「非授权修改」，不是「非授权读取」——MySQL 自身并不加密或校验配置文件内容，所以重点应放在：谁可以写、谁可以删、谁可以替换。
-
chmod 600 /etc/my.cnf是底线：确保只有 root 可读写，mysql用户仍能读（因为进程继承了 root 启动时的权限？不，实际是靠文件系统读权限；600 下 root 可读写，其他用户包括mysql用户完全不可读——所以这也不行） - 正确做法是：
chown root:mysql /etc/my.cnf && chmod 640 /etc/my.cnf，让mysql组可读，但不可写 - 更进一步：用
chattr +i /etc/my.cnf设为不可修改（需 root 解除），但要注意——mysqld升级或某些自动化工具（如mysql_secure_installation）可能尝试覆盖它，导致失败
哪些路径的 my.cnf 会被 MySQL 实际加载
MySQL 按固定顺序查找多个 my.cnf，常见路径有：/etc/my.cnf、/etc/mysql/my.cnf、/usr/etc/my.cnf、~/.my.cnf。只要其中任一文件存在且可读，就会被合并解析。只保护 /etc/my.cnf 而忽略 /etc/mysql/my.cnf，等于留了个后门。
- 运行
mysqld --help --verbose | grep "Default options"可看到实际搜索路径列表 - 生产环境建议统一使用
/etc/my.cnf，并确保其他路径不存在或为空文件（避免被误读） -
~/.my.cnf特别危险：如果 MySQL 服务以普通用户启动（比如开发机），它可能从用户家目录加载配置，而该文件常含密码明文（[client]段里的password=xxx）
my.cnf 里哪些配置项本身构成安全隐患
权限保护不只是文件系统层面的事。即使 my.cnf 本身只读，里面写死的敏感配置仍可能泄露风险。
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
-
password = xxx出现在[client]或[mysqld]段：MySQL 8.0+ 已弃用，且极不安全；应改用mysql_config_editor存储加密登录路径 -
socket = /tmp/mysql.sock：若 socket 文件路径在世界可写目录（如/tmp），攻击者可伪造 socket 接入本地连接 -
bind-address = 0.0.0.0配合空密码或弱密码，等于把数据库裸奔暴露在公网——文件只读解决不了这个问题
systemd 环境下如何防止配置被意外覆盖
现代 Linux 发行版多用 systemd 托管 mysqld，而某些包管理器（如 apt、yum）升级时会重写 /etc/my.cnf，尤其当它被标记为“配置文件”且用户修改过。这时 chattr +i 会直接导致升级失败或服务无法启动。
- 推荐做法：把自定义配置拆到
/etc/my.cnf.d/下的独立文件（如/etc/my.cnf.d/production.cnf），主my.cnf保持最小化，并设为644；再对整个/etc/my.cnf.d/目录执行chown -R root:mysql /etc/my.cnf.d/ && chmod -R 750 /etc/my.cnf.d/ - 检查
mysqld.service是否通过EnvironmentFile=加载额外变量，这类文件也要同步保护 - 备份前先
lsattr /etc/my.cnf*，确认没漏掉带i属性的文件——这个属性不会随 cp 或 rsync 复制，但容易让人误以为“已备份好”，结果恢复时发现根本改不了
最易被忽略的一点：MySQL 客户端工具（如 mysql、mysqldump）默认也会读 ~/.my.cnf，而这个文件常被运维忽略权限设置。哪怕服务端配置天衣无缝，一个开发机上残留的 ~/.my.cnf 也可能让某次误操作连上生产库。
