首先遵循最小权限原则，创建专用数据库用户并仅授予必要操作权限，避免使用高权限账户连接；接着在PHP中使用PDO预处理语句防止SQL注入，确保用户输入与SQL逻辑分离；然后通过配置数据库绑定地址为127.0.0.1限制网络访问，结合防火墙规则和指定主机名控制连接来源；同时启用SSL/TLS加密数据库连接通道，在PDO中配置SSL参数确保通信安全；最后定期审计用户权限，清理无效或过高权限账户，并记录权限变更以维护系统安全。
如果您在开发PHP应用程序时需要对数据库的访问进行精细控制，以防止未授权操作或数据泄露，就必须配置合理的权限管理策略。通过限制数据库用户权限、使用安全的连接方式以及实施访问控制机制，可以有效提升应用的安全性。
本文运行环境：Dell XPS 13，Ubuntu 22.04
一、限制数据库用户的最小权限
为了降低潜在的安全风险，应遵循最小权限原则，即只授予数据库用户完成其任务所必需的最低权限。
1、登录到MySQL或MariaDB数据库，使用具有管理员权限的账户执行命令。
立即学习“PHP免费学习笔记（深入）”；
2、创建专用的应用程序数据库用户，避免使用root或其他高权限账户连接。
3、仅授予该用户对其目标数据库的SELECT、INSERT、UPDATE、DELETE权限，禁止授予DROP、ALTER、GRANT等高危权限。
4、执行类似如下SQL语句：GRANT SELECT, INSERT, UPDATE, DELETE ON app_db.* TO 'app_user'@'localhost';
5、使用FLUSH PRIVILEGES;刷新权限表以使更改生效。
二、使用预处理语句防止SQL注入
直接拼接SQL语句容易导致SQL注入攻击，使用预处理语句（Prepared Statements）可将数据与指令分离，从根本上防止此类攻击。
1、在PHP中使用PDO或MySQLi扩展来构建数据库连接。
2、通过PDO的prepare()方法准备SQL语句，例如：$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
3、使用execute()方法绑定外部输入参数，确保用户输入不会被当作SQL代码执行。
4、对于命名占位符，采用键值对方式绑定变量，提高代码可读性和安全性。
三、配置数据库连接的网络访问控制
数据库服务器默认可能允许远程连接，这会增加被扫描和攻击的风险，因此必须限制可连接的主机地址。
1、编辑数据库配置文件（如my.cnf或my.ini），找到bind-address参数。
2、将其设置为127.0.0.1，仅允许本地连接，阻止外部网络直接访问数据库端口。
3、如果必须支持远程访问，应在防火墙层面限制来源IP，例如使用iptables或ufw规则。
4、在数据库用户创建时指定主机名，如'app_user'@'192.168.1.100'，而非'%', 防止任意主机登录。
四、加密数据库连接通道
明文传输数据库凭据和查询内容可能被中间人窃取，启用SSL/TLS加密可保护通信过程中的数据安全。
1、确认数据库服务器已配置有效的SSL证书并启用SSL连接支持。
2、在PHP的PDO连接选项中添加SSL相关参数，例如设置'options' => [PDO::MYSQL_ATTR_SSL_CA => '/path/to/ca.pem']。
3、强制连接使用SSL，在DSN中加入sslmode=required（根据驱动调整语法）。
4、测试连接是否成功，并验证数据传输是否经过加密。
五、定期审计数据库用户与权限分配
随着时间推移，可能会积累不再使用的账户或权限过高的用户，定期审查有助于发现并修复安全隐患。
1、列出当前所有数据库用户，执行SQL语句：SELECT User, Host FROM mysql.user;
2、检查每个用户的权限列表，使用SHOW GRANTS FOR 'username'@'host';查看具体授权情况。
3、删除长期未使用的账户或临时账户，执行DROP USER 'old_user'@'localhost';。
4、记录每次权限变更操作，建立审计日志以便追溯异常行为。
