如何使用MySQL自带的安全脚本mysql_secure_installation加固权限？-mysql教程-PHP中文网

mysql_secure_installation仅完成一半加固，剩余需手动处理服务状态、脚本路径、临时密码、认证插件、权限元数据、多余root条目及bind-address等配置。

如何使用mysql自带的安全脚本mysql_secure_installation加固权限？

直接运行 mysql_secure_installation 不等于完成加固，它只解决一半问题——剩下那一半得你手动补上，否则线上环境依然裸奔。

常见现象是执行 mysql_secure_installation 报错 Can't connect to local MySQL server through socket 或 command not found。这不是脚本坏了，而是两个基础前提没满足：

MySQL 服务必须已启动：Linux 下用 sudo systemctl status mysql（Ubuntu/Debian）或 sudo systemctl status mysqld（CentOS/RHEL），看到 active (running) 才行；macOS Homebrew 用户得先 brew services start mysql
mysql_secure_installation 文件可能不在 $PATH：MySQL 8.0.29+ 官方二进制包默认不带这个脚本。先查真实位置：ls /usr/bin/mysql_secure_installation 或 ls /usr/local/mysql/bin/mysql_secure_installation；macOS 上大概率在 /opt/homebrew/opt/mysql@8.0/bin/mysql_secure_installation

MySQL 5.7+ 首次启动会生成临时 root 密码，但 mysql_secure_installation 不会自动读取它。直接运行就会卡在 Enter password for user root: 后报 Access denied。

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

先找临时密码：sudo grep 'temporary password' /var/log/mysqld.log（RHEL/CentOS）或 sudo cat /var/log/mysql/error.log | grep 'temporary'（Ubuntu/Debian）
用该密码登录：mysql -u root -p，然后立刻执行：ALTER USER 'root'@'localhost' IDENTIFIED BY '你的强密码';
退出后重跑脚本。如果系统用的是 auth_socket 插件（比如 Ubuntu 默认），脚本会跳过设密提示，这时必须手动改认证方式，否则后续所有密码登录都失败

脚本执行 DROP USER ''@'localhost' 和 DROP DATABASE test 只是表面动作。mysql.db、mysql.tables_priv 这些权限表里残留的记录，能让攻击者连上来就重建 test 库并写入数据。

删库后立刻清理授权元数据：DELETE FROM mysql.db WHERE Db = 'test' OR Db LIKE '\_test%';
再清表级和列级权限：DELETE FROM mysql.tables_priv WHERE Db = 'test'; 和 DELETE FROM mysql.columns_priv WHERE Db = 'test';
查空用户名残留：SELECT User, Host FROM mysql.user WHERE User = '';，对每个结果执行 DROP USER ''@'host';
最后必须显式执行：FLUSH PRIVILEGES; —— Docker 或 systemd 管理的实例里，这步常被忽略，前面全白做

mysql_secure_installation 不处理多 root 条目问题。装完默认就有 'root'@'localhost'、'root'@'127.0.0.1'、'root'@'::1' 甚至 'root'@'%'。只要其中任意一条允许远程或弱认证，整个加固就失效。

先查全量：SELECT User, Host FROM mysql.user WHERE User = 'root';
只保留 'root'@'localhost'，其余全部删：DROP USER 'root'@'127.0.0.1'; DROP USER 'root'@'::1'; DROP USER 'root'@'%';
注意：删完 'root'@'127.0.0.1' 后，本地用 127.0.0.1 连会失败，得改用 localhost 或调整应用连接参数

真正麻烦的不是脚本本身，而是它没动过的那些地方：bind-address 没改、plugin 认证没统一、权限缓存没刷、残留 host 匹配逻辑没清理。这些点不手动过一遍，安全配置就只是看起来很美。