如何设置MySQL数据库的只读模式以保障安全？-mysql教程-PHP中文网

只设read_only=on不等于安全只读，必须同时启用super_read_only并配合同步的只读账号策略；read_only仅限制普通用户，super用户（如root）仍可写入，易致主从数据不一致；super_read_only=on自动启用read_only，但反之不成立；配置文件中需先写read_only=on再写super_read_only=on；动态启用需super权限且顺序为先read_only后super_read_only；验证需确认二者均为on；只读账号须显式授予select并回收lock tables等高危权限；alter database read only是8.0.22+支持的唯一库级只读机制；云数据库只读实例需单独初始化账号；三层防线（实例级、库级、账号级）缺一不可。

如何设置mysql数据库的只读模式以保障安全？

只设 read_only = ON 不等于安全只读，它拦不住 SUPER 用户，也不影响账号权限本身；真正防误操作，必须同时启用 super_read_only 并配合同步的只读账号策略。

read_only 和 super_read_only 必须一起开

单独开 read_only 只会拒绝普通用户的写操作，但 root 或任何带 SUPER 权限的账号仍能执行 INSERT、DROP DATABASE、CREATE FUNCTION 等——这在从库上极其危险，会导致主从数据永久不一致。

super_read_only = ON 会自动把 read_only 设为 ON，但反过来不成立；配置文件里必须先写 read_only = ON，再写 super_read_only = ON，否则 MySQL 启动失败
动态启用需 SUPER 权限：SET GLOBAL read_only = ON; → SET GLOBAL super_read_only = ON;
检查是否生效：SELECT @@global.read_only, @@global.super_read_only; 两个都返回 1 才算到位

只读账号不能只靠 GRANT SELECT

很多团队以为给用户 GRANT SELECT ON app_db.* 就万事大吉，其实 MySQL 默认会给新账号附带 LOCK TABLES 权限——它不改数据，但能触发 FLUSH TABLES WITH READ LOCK，直接卡死复制线程，Seconds_Behind_Master 瞬间飙升。

MySQL（Linux）

MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。

下载

MySQL 8.0+ 必须分两步：CREATE USER + GRANT USAGE ON *.*（缺这句会报 Access denied）
显式回收高危权限：REVOKE LOCK TABLES, CREATE, DROP, ALTER, INSERT, UPDATE, DELETE, EXECUTE ON *.* FROM 'ro_app'@'%';
如需查表结构，额外加：GRANT SELECT ON `information_schema`.`TABLES` TO 'ro_app'@'%';
最后执行：FLUSH PRIVILEGES;（尤其云数据库初始化后必须手动刷）

ALTER DATABASE READ ONLY 是唯一库级只读机制

如果你只想锁死某一个库（比如 backup_db），又不想影响其他库的写入，read_only 和 super_read_only 都不管用——它们是实例级开关，作用于整个 MySQL 进程。

仅 MySQL 8.0.22+ 支持：ALTER DATABASE `backup_db` READ ONLY = 1;
该命令立即生效，且对所有连接（包括已存在的）都起效，连 SUPER 用户也不能对该库做 CREATE TABLE 或 TRUNCATE
低版本执行会直接报错：ERROR 1064 (42000): You have an error in your SQL syntax
解除只读：ALTER DATABASE `backup_db` READ ONLY = 0;

云数据库只读实例的账号要单独初始化

阿里云 RDS、腾讯云 CDB 的只读实例默认 read_only = 1，但 mysql.user 表不会从主库同步过来——这是 MySQL 复制机制决定的（系统库默认不复制）。你在主库上 CREATE USER，只读实例上根本没这个账号。

必须在只读实例上单独执行完整的账号创建和授权流程
注意认证插件兼容性：MySQL 8.0+ 默认用 caching_sha2_password，如果应用不支持，得显式指定 IDENTIFIED WITH mysql_native_password
不要依赖“主库开了只读，从库就自动安全”这种假设——账号、权限、配置三者都要独立验证

最容易被忽略的是：只读不是一劳永逸的开关，而是三层防线——实例级（super_read_only）、库级（ALTER DATABASE ... READ ONLY）、账号级（GRANT + REVOKE）必须各司其职，混用或漏掉任意一层，都可能让写操作悄然穿过。