首先检查所有用户权限，收回高危权限并删除匿名账户；其次限制登录主机、修改弱密码；最后通过定期审计和RBAC持续维护，确保最小权限原则。
MySQL权限漏洞可能造成数据泄露、越权操作甚至服务器被入侵。检测和修复这些安全问题需要系统性地检查用户权限配置，并遵循最小权限原则进行优化。
检查用户权限配置
查看当前所有用户及其权限是发现潜在漏洞的第一步。
- 执行 SELECT User, Host, authentication_string FROM mysql.user; 查看所有账户，注意空密码或弱密码用户
- 使用 SHOW GRANTS FOR 'username'@'host'; 检查每个用户的权限明细
- 重点关注拥有 SUPER、FILE、GRANT OPTION、ALL PRIVILEGES 等高危权限的账户
- 确认是否存在匿名用户（User=''）或通配符主机（Host='%'）的宽泛访问规则
识别常见权限风险
以下几种情况容易引发安全问题：
- 用户权限超出实际需求，例如普通应用账户拥有 DROP 或 SHUTDOWN 权限
- 多个服务共用同一数据库账户，导致权限难以控制
- 测试账户未及时删除，仍保留在生产环境中
- 远程访问权限开放给任意主机（'user'@'%'），增加暴力破解风险
修复权限问题的具体措施
根据检测结果采取针对性的修复策略。
- 收回不必要的权限：使用 REVOKE PRIVILEGE ON db.table FROM 'user'@'host';
- 限制登录主机：避免使用 '%'，改为具体IP如 'appuser'@'192.168.1.10'
- 删除无用账户：DROP USER 'test'@'%';
- 修改弱密码：ALTER USER 'user'@'host' IDENTIFIED BY 'StrongPassw0rd!';
- 启用密码策略插件（如 validate_password）增强密码强度要求
定期维护与监控建议
权限管理不是一次性任务，需持续关注。
- 定期运行权限审查脚本，输出权限报告
- 开启 general log 或审计插件（如 MariaDB Audit Plugin）记录敏感操作
- 将数据库用户按角色分类，实施基于角色的访问控制（RBAC）
- 在变更前备份 mysql 库：mysqldump mysql > mysql_backup.sql
基本上就这些。保持用户权限最小化、定期审计、及时清理冗余账户，能有效降低MySQL被滥用的风险。安全是个持续过程，别等到出事才想起来查权限。
