不能用 mysqldump --all-databases 做多租户备份，因其将所有租户库与系统库混导为单文件，导致恢复时无法区分租户且存在越权探测风险；应按租户动态过滤、单独导出、隔离文件权限、规范命名并外置配置。
为什么不能用 mysqldump --all-databases 做多租户备份
因为所有租户数据库（如 db_tenant_a、db_tenant_b）混在同一个 MySQL 实例里，mysqldump --all-databases 会把它们全打成一个文件，后续恢复时根本分不清哪段 SQL 属于哪个租户。更危险的是，它还会导出 mysql、information_schema 等系统库——一旦租户备份用户被越权利用，就能跨库探测其他租户存在性甚至权限结构。
实操建议：
- 动态获取租户库名：用
mysql -Nse "SELECT SCHEMA_NAME FROM INFORMATION_SCHEMA.SCHEMATA WHERE SCHEMA_NAME LIKE 'db_%'"过滤前缀，避免硬编码 - 每个租户只 dump 自己的库：例如
mysqldump -u backup_user -p'xxx' db_tenant_a，不带其他库名 - 禁止给备份用户授予
SELECT ON mysql.*权限，哪怕只是为加--flush-privileges
如何让每个租户的备份文件真正隔离
MySQL 自身不控制备份文件权限，靠数据库账号区分备份归属是无效的。真正起作用的是 Linux 文件系统权限和执行 mysqldump 的 OS 用户身份。
常见错误现象：所有备份都写进 /backup 目录，用 root 跑脚本，再 chmod 一堆子目录——结果是租户 A 能 cat 到租户 B 的 .sql.gz 文件。
实操建议：
- 为每个租户创建独立系统用户（如
tenant_a），不要复用mysql或root - 每个租户专属备份目录归属对应用户，权限设为
700：chown tenant_a:tenant_a /backup/tenant_a - 备份脚本必须以租户身份执行：
sudo -u tenant_a bash /backup/tenant_a/backup.sh，而非在 root 下调度 - 禁用
mysqldump --result-file参数——该路径由 mysqld 进程直接写入，权限继承自mysqld用户（通常是mysql），无法按租户隔离
备份文件命名必须带租户标识与时间戳
没有明确命名规则的备份文件，在故障恢复时极易选错。backup.sql 这种名字，三天后连自己都记不清是哪个租户哪天的，更别说审计或自动化恢复了。
性能与兼容性影响：时间戳含空格或冒号（如 2026-09-30 03:29:15）会导致 FTP 传输失败、shell 变量解析异常、Windows 路径识别错误。
实操建议：
- 固定格式：
tenant_id_dbname_date_time_checksum.sql.gz，例如tenant_a_db_tenant_a_2026-09-30_032915_8a3f.sql.gz - 时间戳用
$(date +\%Y-\%m-\%d_\%H\%M\%S)，避开空格和冒号 - 加简单校验码：
md5sum $file | cut -c-4，防止同名覆盖后无法识别是否被篡改 - 不要依赖脚本所在目录名或临时环境变量拼接——这些在 cron 或 systemd 启动时容易为空或错乱
备份脚本怎么适配微服务部署场景
微服务通常运行在容器或不同宿主机上，备份脚本不能假定所有租户共用同一台 DB 服务器；也不能默认本地有 mysqldump——比如 sidecar 模式下，备份逻辑可能跑在独立的 backup-service 容器里。
使用场景差异：K8s 中每个租户可能对应一个 Namespace，备份 Job 需绑定 ServiceAccount 和 Secret；而 ECS 上可能用 systemd timer 触发，需确保 mysqldump 在 PATH 中且网络可达。
实操建议：
- 把租户配置外置：用
tenant_config.json或环境变量传入TENANT_ID、DB_HOST、DB_NAME，而非写死在脚本里 - 检查
mysqldump可用性：command -v mysqldump >/dev/null || { echo "mysqldump not found"; exit 1; } - 连接超时和重试要显式设置：
mysqldump --connect-timeout=10 --max-allowed-packet=512M - 压缩和加密分开做：先
mysqldump | gzip，再用gpg --encrypt（若合规要求），别用mysqldump --compress——那是客户端/服务端通信压缩，不影响输出文件大小
最易被忽略的一点：备份脚本里的 DB_PASS 如果明文写在 .sh 文件里，即使权限设为 600，在容器镜像层或 Git 历史中仍可能泄露。应该从挂载的 Secret 文件读取，或通过 mysql_config_editor 配置 login-path，再用 --login-path=tenant_a 调用。
