mysql配置文件权限不能设为640，因其组可写（第二位为w）触发硬性安全校验失败，导致服务静默跳过配置并回退默认值；唯一合法权限是644或600，且需配合正确属主属组（如root:mysql）确保mysql进程可读。
MySQL配置文件权限为什么不能设成640？
因为MySQL启动时会硬性拒绝加载任何「组可写」的配置文件。640 的第二位是 w（即 -rw-rw-r--），触发校验失败，错误日志里不会报“permission denied”，而是静默跳过并输出：World-writable config file '/etc/my.cnf' is ignored。这不是警告，是 fatal 错误：所有配置项（如 bind-address、max_connections）全部回退默认值。
真正合法的权限只有两种：644 和 600；640、664、755、777 全部不通过校验。
/etc/my.cnf 权限设成644后，mysql进程能读到吗？
能，但前提是属组正确。多数生产环境 MySQL 以 mysql 用户运行（可通过 systemctl show --property=User mysql 确认），所以推荐组合：chown root:mysql /etc/my.cnf && chmod 644 /etc/my.cnf。这样 root 可写、mysql 组可读、其他用户无权访问，既满足校验又符合最小权限原则。
若强行用 600，必须配 chown mysql:mysql /etc/my.cnf，但会让 mysql 用户可写配置文件，风险更高。
注意：改完权限后，如果 systemd 启用了 ProtectHome=true 或 RestrictSUIDSGID=true，必须执行 systemctl daemon-reload 再重启服务，否则可能因策略拦截导致启动失败。
哪些配置路径都要检查？不止/etc/my.cnf
MySQL 按固定顺序扫描多个路径，只要其中任意一个存在且权限违规，整个加载链就中断。只修 /etc/my.cnf 是白忙。
查真实加载路径：mysqld --verbose --help | grep "Default options"
常见需检查路径包括：
/etc/my.cnf/etc/mysql/my.cnf/usr/etc/my.cnf-
~/.my.cnf（尤其危险：开发机上常含明文密码，且普通用户可写）
对每个存在的路径执行：ls -l → 权限非 644 或 600 就立刻修复；不存在的不用管。对于 ~/.my.cnf，建议直接删掉，或设为 600 并 chown $USER:$USER。
数据目录和日志文件的权限怎么设才安全？
数据目录（如 /var/lib/mysql）必须由 mysql 用户完全控制，权限应为 750：chown -R mysql:mysql /var/lib/mysql && chmod 750 /var/lib/mysql。不能是 755 或 777，否则其他用户可遍历表文件。
慢查询日志、通用日志等敏感日志文件，权限应为 660，属主属组均为 mysql：chmod 660 /var/log/mysql/slow.log && chown mysql:mysql /var/log/mysql/slow.log。
特别注意：.mysql_history 文件默认记录明文密码，必须清理：rm -f $HOME/.mysql_history，并设置 export MYSQL_HISTFILE=/dev/null 到用户 shell 初始化文件中。
