怎样为MySQL配置连接控制插件以防止暴力破解root密码？-mysql教程-PHP中文网

connection_control插件默认绕过localhost连接，因此无法防护root@localhost的暴力破解；需配合专用管理账号、失败登录计数表及账户锁定策略，并将配置写入my.cnf持久化。

怎样为mysql配置连接控制插件以防止暴力破解root密码？

不能只靠 connection_control 插件防住对 root 密码的暴力破解——它默认绕过 localhost 连接，而 root 通常正是通过 'root'@'localhost' 登录的。真要防护，得先改用远程可管账号 + 插件 + 账户锁定三者配合。

为什么 root@localhost 永远不会被 connection_control 延迟？

插件硬编码白名单：localhost、127.0.0.1、::1 以及所有 skip-grant-tables 模式下的连接，全部跳过失败计数和延迟逻辑。这不是 bug，是设计——避免管理员自己把自己锁在外面。

实操建议：

查当前登录身份：SELECT USER(), CURRENT_USER();，如果返回 'root'@'localhost'，那无论输错多少次，connection_control_failed_connections_threshold 都不生效
生产环境必须创建专用管理账号，例如：CREATE USER 'dba'@'192.168.10.50' IDENTIFIED BY 'strongpwd' WITH MAX_CONNECTIONS_PER_HOUR 10;
root 账号应仅保留 'root'@'127.0.0.1' 或 'root'@'::1'，并禁用 'root'@'%' 和 'root'@'localhost'（后者会覆盖前者）

connection_control 插件必须装两个组件才起作用

只执行 INSTALL PLUGIN CONNECTION_CONTROL SONAME 'connection_control.so'; 是不够的。失败计数依赖配套表 CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS，没它，SHOW VARIABLES LIKE '%connection_control%' 根本看不到任何变量，所有配置都静默失效。

正确安装顺序：

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

先装主控：INSTALL PLUGIN CONNECTION_CONTROL SONAME 'connection_control.so';
再装计数表：INSTALL PLUGIN CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS SONAME 'connection_control.so';
验证是否全激活：SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME LIKE 'connection%';，两行状态都必须是 ACTIVE
确认变量可见：SHOW VARIABLES LIKE 'connection_control%';，重点看 connection_control_failed_connections_threshold（默认 3）和 connection_control_min_connection_delay（默认 1000ms）

账户锁定策略（FAILED_LOGIN_ATTEMPTS）和 validate_password 插件强绑定

ALTER USER 'dba'@'192.168.10.50' FAILED_LOGIN_ATTEMPTS 5 PASSWORD_LOCK_TIME 0.04167; 单独执行会被 MySQL 静默忽略——它不是开关，而是策略绑定参数。必须同时满足三个条件，account_locked = 'Y' 才可能出现在 mysql.user 表中：

用户认证插件必须是 caching_sha2_password 或 mysql_native_password（auth_socket 或 sha256_password 用户永远不锁定）
FAILED_LOGIN_ATTEMPTS 和 PASSWORD_LOCK_TIME 必须出现在同一条 CREATE USER 或 ALTER USER 语句中（顺序无关）
validate_password 插件必须已启用且状态为 ACTIVE；否则失败登录根本不会累加计数，错误日志里也搜不到 Too many failed login attempts

检查方式：SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME = 'validate_password';

connection_control_failed_connections_threshold 不写进 my.cnf 就不持久

SET GLOBAL connection_control_failed_connections_threshold = 5; 只在当前运行周期有效，MySQL 重启后恢复默认值 3。暴力破解防护一旦中断，等于裸奔。

必须把以下内容写入 my.cnf 的 [mysqld] 段落：

plugin-load-add = connection_control.so
connection-control = FORCE_PLUS_PERMANENT
connection-control-failed-login-attempts = FORCE_PLUS_PERMANENT
connection-control-failed-connections-threshold = 5
connection-control-min-connection-delay = 2000
connection-control-max-connection-delay = 30000

注意：PASSWORD_LOCK_TIME 单位是「天」，锁 1 小时要写 0.04167（1 ÷ 24），写 0 表示永久锁定，且锁定期满后不会自动解锁——必须有一次成功登录，才会重置失败计数并清除 account_locked = 'Y'。