如何确保MySQL只读复制账号无法在主库执行任何写入-mysql教程-PHP中文网

只读复制账号在主库写入，说明权限模型被误解：复制账号本身不参与业务操作，但若被误用于主库连接，且拥有SUPER等高危权限，即可绕过DML限制；必须显式回收INSERT/UPDATE/DROP/SUPER等权限，并配合网络隔离与最小host匹配。

如何确保mysql只读复制账号无法在主库执行任何写入

只读复制账号在主库执行写入，说明它根本没被限制住——不是账号问题，是权限模型理解错了。

为什么只给SELECT权限的账号还能在主库写入？

MySQL 的权限检查发生在语句执行前，但「复制账号」本身不参与业务查询，它的权限只影响自己发起的连接。如果这个账号被应用、监控脚本或 DBA 误用于主库连接（比如配置写错、环境变量污染、连接池复用），哪怕只授了 SELECT，只要它同时拥有 SUPER 或 SYSTEM_VARIABLES_ADMIN 权限，就能绕过所有 DML 限制。

常见误操作：用 CREATE USER 'repl'@'%' IDENTIFIED BY 'xxx'; GRANT REPLICATION SLAVE ON *.* TO 'repl'@'%'; 后，忘了显式回收高危权限
隐患点：MySQL 5.7 默认创建用户时可能隐含 USAGE + 全局 SELECT（尤其通过某些 GUI 工具或旧版脚本）
验证方式：用该账号登录主库后执行 SHOW GRANTS FOR CURRENT_USER();，确认输出里没有 INSERT、UPDATE、DROP、SUPER、SYSTEM_VARIABLES_ADMIN

必须显式回收的 4 类权限

仅靠「不授予写权限」不够，老账号、迁移账号、复制账号都可能残留隐式权限。必须主动 REVOKE：

REVOKE INSERT, UPDATE, DELETE, DROP, CREATE, ALTER, INDEX, LOCK TABLES, CREATE VIEW, SHOW VIEW, TRIGGER, EXECUTE ON *.* FROM 'repl'@'%';
REVOKE SUPER ON *.* FROM 'repl'@'%';（最关键，否则可 SET SESSION read_only=0）
REVOKE REPLICATION CLIENT, REPLICATION SLAVE ON *.* FROM 'repl'@'%';（这两个是复制必需，但必须确保不带其他权限）
REVOKE PROCESS, FILE, SHUTDOWN ON *.* FROM 'repl'@'%';（非必要且危险，应禁用）

执行完务必 FLUSH PRIVILEGES;，否则部分权限变更不生效。

MySQL8 CRM Schema Design Expert

面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。

下载

主库上不能只靠账号权限，还得靠实例级只读开关

账号权限只是第一道防线。如果复制账号真连上了主库，而主库又没开 read_only，那它哪怕只有 SELECT，也能被其他有 SUPER 的连接间接利用（比如触发器、函数、事件）。所以主库本身也得加固：

主库必须保持 read_only = OFF（否则复制线程无法写 relay log），但这是唯一例外；其他所有非复制用途连接都应被隔离
真正要防的是「误连」——用网络层手段（如 iptables、proxy、RDS 白名单）禁止从库 IP 段访问主库的 3306 端口
若用云数据库（如阿里云 RDS），开启「主库只允许指定 IP 访问」并把复制账号的来源 IP 列入白名单，同时剔除所有应用服务器 IP
容器环境可在入口 proxy（如 ProxySQL、HAProxy）配置 ACL，拒绝来自从库网段的非 REPLICATION 协议流量

最容易被忽略的漏洞点：host 匹配与通配符陷阱

账号权限绑定的是 'repl'@'192.168.5.%' 这样的 host，但 MySQL 的 host 匹配优先级高于你想象：

如果存在 'repl'@'%' 和 'repl'@'192.168.5.%' 两个账号，MySQL 会选最长匹配（即后者），但权限是叠加的——只要任一账号有 SUPER，就全盘失效
检查命令：SELECT User, Host FROM mysql.user WHERE User = 'repl';，删掉所有非必要 host 的重复账号
不要用 'repl'@'%'，哪怕测试环境也要限定 CIDR，例如 'repl'@'10.100.20.%'
注意 DNS 反解：如果主库启用了 skip_name_resolve = OFF（默认），客户端 hostname 解析失败时会 fallback 到 'repl'@'%'，导致权限扩大

真正安全的复制账号，是「最小 host + 显式回收 + 网络隔离」三者缺一不可。任何一项松动，都会让只读形同虚设。