如何利用MySQL自带的安全安装脚本（secure_installation）优化权限？-mysql教程-PHP中文网

mysql_secure_installation 删除 mysql.user 中 user = '' 的匿名用户及非 localhost 的 root 用户，删除 test 库及 test_ 开头库，清除 mysql.db 中对应权限，并执行 flush privileges。

如何利用mysql自带的安全安装脚本（secure_installation）优化权限？

mysql_secure_installation 会改哪些权限表？

它不直接修改 mysql.user 表的字段，而是执行一系列 DELETE 和 DROP 操作，并最终调用 FLUSH PRIVILEGES。关键动作包括：

删除 mysql.user 中 User = '' 的匿名用户行（即空用户名）
删除 mysql.user 中 User = 'root' 且 Host != 'localhost' 的记录（禁远程 root）
执行 DROP DATABASE IF EXISTS test，并删掉所有以 test_ 开头的数据库相关权限
删掉 mysql.db 中匹配 Db = 'test' 或 Db LIKE 'test\_%' 的权限行

这些操作不可逆，执行前建议先备份 mysql.user 和 mysql.db： mysqldump --single-transaction -u root -p mysql user db > mysql_auth_backup.sql

为什么执行时提示 “Access denied”？

常见于两种情况：

MySQL 服务未运行：systemctl status mysqld 确认状态，若 inactive 则先 systemctl start mysqld
root 密码已过期或被锁死：登录 mysql -u root -p 后执行 ALTER USER 'root'@'localhost' PASSWORD EXPIRE NEVER;，再重试脚本
使用了非默认 socket 路径（如 Docker 或自定义安装）：加 --socket=/var/run/mysqld/mysqld.sock 参数指定

注意：脚本默认尝试连接本地 socket，不走 TCP；若 MySQL 配置了 skip-networking，不影响它运行。

要不要启用 VALIDATE PASSWORD 插件？

启用后会对所有后续密码设置（包括 CREATE USER、ALTER USER）强制校验强度，但代价是：

MySQL（Linux）

MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。

下载

策略为 MEDIUM 时要求：长度 ≥8、含数字、大小写字母、特殊字符 —— 很多开发环境觉得太严
插件一旦启用，卸载需手动执行 UNINSTALL COMPONENT 'file://component_validate_password';（MySQL 8.0.17+）
低版本 MySQL（如 5.7）中该插件名是 validate_password，不是组件形式，卸载用 UNINSTALL PLUGIN validate_password;

生产环境建议开，本地开发可跳过 —— 脚本里直接按 N 即可，不影响其他安全步骤。

执行完脚本，应用连不上 MySQL 怎么办？

这是最常被忽略的点：脚本只处理 root@localhost，不碰你自己的业务用户。如果应用用的是 root 连接，且之前允许远程访问，那现在必然失败。

正确做法是立即创建专用用户：

CREATE USER 'appuser'@'localhost' IDENTIFIED BY 'StrongPass!2026';
GRANT SELECT, INSERT, UPDATE ON myapp_db.* TO 'appuser'@'localhost';
FLUSH PRIVILEGES;

如果应用部署在另一台机器（比如 PHP 容器），则需明确授权 'appuser'@'172.18.0.3' 或 'appuser'@'%'（后者仅限内网可信环境），再检查 MySQL 是否监听了非 127.0.0.1 的地址（bind_address 配置）。