MySQL如何授权ProxySQL健康检查账号-mysql教程-PHP中文网

健康检查账号必须仅授予最小必要权限，即select on mysql.和replication client on .*，禁用process、shutdown等高危权限，且主机名需精确匹配proxysql服务器出口ip网段，避免因权限不足或过高导致探测失败或安全风险。

mysql如何授权proxysql健康检查账号

健康检查账号必须只具备最小必要权限，不能用 root 或业务账号凑合 —— 否则 ProxySQL 会因权限不足无法探测，或因权限过高引发安全风险。

为什么不能直接复用业务账号做健康检查

ProxySQL 的 monitor 模块默认执行 SELECT @@read_only 和 SELECT 1 等语句做心跳检测。如果账号没有 SELECT 权限，就会报错 Access denied for user 'xxx'@'%' to database 'mysql'；如果账号有 REPLICATION CLIENT 以外的高危权限（比如 PROCESS、SHUTDOWN），等于把后端数据库的“探针”变成了“入口”。

业务账号通常带 GRANT OPTION 或 EXECUTE，而健康检查完全不需要
monitor 模块不走 SQL 解析层，只依赖基础权限，USAGE 不够用，必须显式授权
MySQL 8.0 默认启用 caching_sha2_password 插件，老版本客户端可能不兼容，需提前确认

正确授权语句（MySQL 8.0+）

在后端 MySQL 实例上执行以下命令，注意替换 monitor 和 monpass 为实际用户名和密码：

aperture: the L402 aware reverse proxy

安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。

下载

CREATE USER 'monitor'@'192.168.0.%' IDENTIFIED BY 'monpass';
GRANT SELECT ON mysql.* TO 'monitor'@'192.168.0.%';
GRANT REPLICATION CLIENT ON *.* TO 'monitor'@'192.168.0.%';
FLUSH PRIVILEGES;

主机名必须写具体网段（如 192.168.0.%），不能用 % —— ProxySQL 管理接口连接时会按 host 字段精确匹配
SELECT ON mysql.* 是为了读取 mysql.health_check 视图（MySQL 8.0.33+）或 performance_schema 表，REPLICATION CLIENT 是为了获取主从状态
不要授 SHOW DATABASES 或 PROCESS —— 这些权限对健康检查无用，且会被 ProxySQL 的 mysql-monitor_username 配置意外触发扫描

ProxySQL 端配置 monitor 用户

连上 ProxySQL 管理端口（mysql -uadmin -padmin -h127.0.0.1 -P6032），执行：

SET mysql-monitor_username='monitor';
SET mysql-monitor_password='monpass';
LOAD MYSQL VARIABLES TO RUNTIME;
SAVE MYSQL VARIABLES TO DISK;

这组变量只影响 monitor 模块自身连接后端的行为，和 mysql_users 表里的应用账号完全隔离
修改后必须 LOAD 才生效，SAVE 是为了重启后不丢失 —— 缺一不可
检查是否生效：SELECT * FROM monitor.mysql_server_connect_log ORDER BY time_start DESC LIMIT 5;，看是否有 success 记录