sql系统安全加固需聚焦“谁在访问、访问什么、怎么访问”，落实最小权限、参数化查询、网络收紧及审计监控四大措施。
SQL系统安全加固不是堆砌一堆规则，而是围绕“谁在访问、访问什么、怎么访问”三个核心问题，堵住常见漏洞入口。重点不在功能多全，而在关键环节不失控。
最小权限原则：别让账号有“万能钥匙”
很多入侵从一个弱密码的高权限账号开始。生产环境绝不能用root或sa直接跑应用。应为每个业务模块单独建账号，并只授予必需的库、表、操作权限。
- 应用A只需查order_info表 → 创建账号app_order_ro，只赋SELECT权限
- 后台管理需增删改user_profile → 创建账号admin_user_rw，仅限该表的INSERT/UPDATE/DELETE
- 定期用SHOW GRANTS FOR 'xxx'@'%' 检查权限，发现ALL PRIVILEGES或SUPER权限立即回收
输入过滤+参数化：防SQL注入最实在的一招
90%以上的Web层SQL注入，根源是拼接字符串。哪怕前端做了校验，后端也必须用参数化查询，不信任任何外部输入。
- ❌ 错误写法（PHP示例）："SELECT * FROM users WHERE name = '" . $_GET['name'] . "'"
- ✅ 正确写法（PDO预处理）：$stmt = $pdo->prepare("SELECT * FROM users WHERE name = ?"); $stmt->execute([$_GET['name']]);
- 对数字型参数也要强制类型转换，比如intval($_GET['id'])，避免绕过
- 存储过程里慎用EXECUTE IMMEDIATE或sp_executesql拼接变量，必须用参数占位
网络与连接层收紧：看不见的攻击常从这里进来
数据库不该暴露在公网，也不该对所有内网IP开放。限制来源、加密传输、及时断连，是基础但常被忽略的防线。
- MySQL配置bind-address = 127.0.0.1或具体应用服务器IP，禁用0.0.0.0
- 启用TLS：要求客户端连接时使用REQUIRE SSL，并验证证书（如MySQL 8.0+支持REQUIRE X509）
- 设置wait_timeout=300和interactive_timeout=300，闲置连接5分钟自动断开
- 用防火墙（如iptables或云安全组）只放行指定IP段的3306/1433端口，禁止全网段访问
审计与监控：出事前先看见异常
光靠预防不够，得知道谁在什么时候干了什么。开启日志不是为了存档，是为了快速定位风险行为。
- MySQL开启general_log = OFF（太重），但务必打开slow_query_log = ON + log_error_verbosity = 3，并配置long_query_time = 1
- SQL Server启用Default Trace或更细粒度的Audit功能，记录DROP TABLE、GRANT、xp_cmdshell等高危操作
- 每天定时检查是否有非常规时间（如凌晨2点）的大批量DELETE或UPDATE，结合应用日志交叉验证
- 用开源工具（如pt-query-digest、SQL Server Profiler导出分析）识别高频慢查询，它们可能是暴力探测或数据拖库的前兆
基本上就这些。不复杂但容易忽略——权限收窄一点、参数多写一行、连接少开一个端口、日志多看一眼，往往就是安全水位线的关键一格。
