如何配置仅限本地Socket连接的用户_高安全性内网账号-phpMyAdmin-PHP中文网

PostgreSQL 中限制用户仅通过 localhost Unix socket 连接，需在 pg_hba.conf 中用 local 行配 peer 认证、host 行拒绝 127.0.0.1/::1，并设 listen_addresses 为空；MySQL 通过 CREATE USER 'u'@'localhost' 实现；Redis 需设 port 0 且清空 bind，启用 unixsocket。

PostgreSQL 中如何限制用户只能通过 `localhost` 的 Unix socket 连接

postgresql 默认允许本地 socket 和 tcp 连接混用，仅靠 pg_hba.conf 里写 local 并不能阻止用户走 127.0.0.1（即 tcp loopback）连进来——这会绕过 socket 级别的隔离。真要“仅限本地 socket”，得从连接来源和认证规则双侧卡死。

实操建议：

pg_hba.conf 中明确区分两类规则：用 local 行处理 Unix socket，用 host 行拒掉所有 IPv4/IPv6 的 127.0.0.1 和 ::1 ——哪怕它们物理上也在本机
对目标用户（比如 app_local），local 行的 auth-method 推荐用 peer（Linux）或 scram-sha-256 + unix_socket_directories 配合文件权限控制，避免密码泄露面扩大
确认 postgresql.conf 中 listen_addresses 设为 ''（空字符串）或至少不包含 127.0.0.1；否则即使 pg_hba.conf 拒绝了，内核层仍可能收包

MySQL 8.0+ 创建只响应 `/var/run/mysqld/mysqld.sock` 的账号

MySQL 没有原生的“仅 socket”账号类型，但可通过 host 字段精准匹配 socket 连接行为：当客户端用 -S 或 localhost 作为 host 连接时，MySQL 会优先走 socket（前提是 socket 文件存在），且此时 user@'localhost' 这条记录会被命中——注意，这是特例，不是 DNS 解析结果。

关键陷阱：

不要创建 user@'127.0.0.1'，它强制走 TCP；也不要依赖 user@'::1'，IPv6 loopback 同样是网络栈路径
必须删掉或注释掉默认的 user@'%' 和 user@'127.0.0.1' 记录，否则用户换种方式连就逃逸了
创建账号时显式指定 CREATE USER 'app_sock'@'localhost' IDENTIFIED BY 'xxx';，这里的 'localhost' 是字面量，不是通配符
验证方式：用 mysql -u app_sock -p -S /var/run/mysqld/mysqld.sock 能进，而 mysql -u app_sock -p -h 127.0.0.1 必须报 Access denied

Redis 启动时禁用 TCP 监听，只留 `/tmp/redis.sock`

Redis 的 bind 和 port 是两套开关。设 port 0 只禁 TCP 端口，但若 bind 仍列了 127.0.0.1，某些旧版本（如 6.x 之前）仍可能监听；真正干净的做法是两者都关，再开 socket。

配置要点：

port 0（必须，不是注释掉）
bind 行全部删掉或留空，不要写 bind 127.0.0.1
启用 unixsocket /tmp/redis.sock 和 unixsocketperm 700（权限必须严格，否则同主机其他用户可连）
客户端连接时必须显式用 -s /tmp/redis.sock，用 -h localhost 会失败——因为没开 TCP，DNS 解析也救不了

为什么 `ss -ltn` 还能看到 `:6379` 或 `:5432`？

常见错觉：以为改完配置 reload 就万事大吉。其实 PostgreSQL/MySQL/Redis 的 socket-only 模式，要求服务进程完全不绑定任何 TCP 地址。如果 ss -ltn | grep :5432 仍有输出，说明 listen_addresses、bind 或 port 没生效，或者服务根本没 reload 成功（systemd 下常因未执行 sudo systemctl daemon-reload 或漏掉 sudo systemctl restart postgresql）。

排查顺序：

查进程实际参数：ps aux | grep postgres，看有没有 -c listen_addresses=... 出现在命令行里
查日志：journalctl -u postgresql --since "1 hour ago" | grep -i "listening on"，确认启动时是否真跳过了 TCP
别信配置文件名，Redis 的 redis.conf 可能被 /etc/redis/redis.conf 和 /etc/redis/redis-server.conf 同时引用，优先级容易搞混

最硬的验证：在另一台机器上 telnet your-server 5432，连不上才算过关。本地 nc -zv 127.0.0.1 5432 也该失败——这才是 socket-only 的真实边界。