mysql 8.0 的安全架构专为云原生威胁模型设计：默认强制 tls 1.2+、启用 sha-256 认证、支持 rbac 与动态脱敏，但需关闭兼容模式且不降级认证插件才能完整生效。
MySQL 8.0 的安全架构不是“更适合云原生”，而是为云原生环境中的典型威胁模型做了针对性设计——默认启用强约束、减少人工干预面、适配服务网格与密钥轮换机制。
默认强制 TLS 1.2+ 且禁用不安全加密套件
云环境里东西向流量（如 Pod 间、微服务调用数据库）常走内网，但内网≠可信。MySQL 8.0 启动时若未显式配置 ssl_mode=DISABLED，会自动尝试加载证书；若失败，则拒绝非本地连接（ERROR 9002 (HY000): SSL is required）。这堵住了“忘记开 SSL 就上线”的常见疏漏。
关键细节：
- 旧版（5.7）默认允许明文连接，靠 DBA 主动配
require_secure_transport=ON，而 8.0 是启动即 enforce -
sha256_password和caching_sha2_password成为默认认证插件，淘汰了易受中间人攻击的mysql_native_password - 云厂商 RDS（如腾讯云、阿里云）底层直接复用该行为，不做额外开关——省掉一个配置项，就少一个故障点
角色管理（Role-Based Access Control）天然适配多租户 K8s 命名空间
在 Kubernetes 中按团队/项目划分 namespace 是常态，每个 namespace 对应一套应用权限。MySQL 8.0 的 CREATE ROLE + GRANT ... TO role_name 模型，能直接映射这种结构：
- 建一个
app-prod-role，赋予SELECT, INSERT到orders库 - 给 dev-team 的 service account 绑定该 role，而非直接授予权限
- 滚动更新或 namespace 删除时，只需
DROP ROLE，不会误删用户或残留权限
对比 5.7：必须为每个用户重复执行 GRANT，权限分散、审计难，且无法批量回收。
动态数据脱敏与审计日志可插拔，对接云平台安全中心
开源版 MySQL 8.0 本身不带企业级审计，但其 audit_log 插件接口和 data_masking 函数（需安装组件）已预留标准入口。云厂商（如腾讯云 MySQL 8.0）正是基于此扩展出内核级 SQL 审计和字段级脱敏：
- 审计日志直写对象存储（如 COS/S3），避免本地磁盘满导致服务中断
- 脱敏策略可随 ConfigMap 热更新，无需重启 mysqld
- 审计事件含
client_ip、user@host、query_time，与 Prometheus + Loki 日志链路天然对齐
这比在应用层做脱敏或代理层加审计更可靠——绕不开、改不了、时序准。
真正容易被忽略的是：MySQL 8.0 的安全能力只有在**关闭兼容模式**（sql_mode 不含 NO_AUTO_CREATE_USER 等旧规）且**不降级认证插件**的前提下才完整生效。很多迁移项目卡在“功能开了但不起作用”，问题往往出在这两个隐性开关上。
