应用不应使用MySQL root账户连接，因其权限过高易被SQL注入或配置泄露利用；应创建最小权限专用账号并限制访问范围，同时禁用root远程登录、强化密码策略、关闭不必要日志、启用登录失败锁定，并用专用账号执行备份与迁移。
为什么不能直接用 root 连接应用
MySQL 的 root 账户默认拥有所有权限，包括 DROP DATABASE、SHUTDOWN、修改系统变量等高危操作。一旦应用代码存在 SQL 注入漏洞，或配置文件意外泄露（比如被误传到 GitHub），攻击者就能直接执行任意命令，删库、提权、导出敏感数据一气呵成。
真实案例中，不少运维在开发环境图省事用 root@localhost 写进 Django 的 DATABASES 配置，结果测试服务器被扫描到后 3 分钟内数据库清空——不是因为黑客多强，而是因为 root 权限没做切割。
- 应用连接应使用专用账号，只授予
SELECT、INSERT、UPDATE、DELETE等必要权限，且限定在具体数据库（如GRANT SELECT ON myapp.* TO 'myapp_user'@'192.168.1.%'） - 禁止给应用账号授予
GRANT OPTION、CREATE USER、PROCESS或FILE权限 - 本地调试时也别用
root；可用CREATE USER 'dev'@'localhost' IDENTIFIED BY 'pwd123'; GRANT ALL ON test_%.* TO 'dev'@'localhost';隔离范围
如何安全地禁用或锁定 root 远程登录
默认安装的 MySQL 往往允许 root@'%' 或 root@'192.168.%' 远程连接，这是最大风险入口。真正需要远程管理时，应该走跳板机或 SSH 隧道，而不是开放 root 的网络访问。
检查当前 root 登录方式：SELECT User, Host FROM mysql.user WHERE User = 'root';。如果看到 Host 列是 %、192.168.% 或公网 IP，立刻处理。
- 删除非必要 host 记录：
DROP USER 'root'@'%';（注意：MySQL 8.0+ 必须用DROP USER，不能只删表） - 保留且仅保留
root@localhost（Unix socket 或 127.0.0.1 连接），并确保该账号密码强度足够（至少 12 位含大小写字母+数字+符号） - 若必须远程管理，创建独立管理员账号：
CREATE USER 'dba_admin'@'10.10.5.%' IDENTIFIED BY 'strong_pwd_2024!'; GRANT SELECT, INSERT, UPDATE, DELETE, SHOW VIEW ON *.* TO 'dba_admin'@'10.10.5.%' WITH GRANT OPTION;，再通过防火墙限制其来源 IP 段
mysql_secure_installation 不够用，还得手动加固
mysql_secure_installation 只能帮你删掉匿名用户、测试库、禁止 root 远程——它不会改密码策略、不会关日志暴露、也不会限制失败登录次数。很多团队运行完这个脚本就以为“安全了”，结果被暴力破解拖库。
关键手动项：
- 启用密码复杂度插件（MySQL 5.7+）：
INSTALL PLUGIN validate_password SONAME 'validate_password.so';，然后设SET GLOBAL validate_password.policy = STRONG; - 关闭不必要日志：
SET GLOBAL general_log = OFF;（避免 SQL 明文落盘），生产环境严禁开启general_log或slow_query_log到默认路径（如/var/lib/mysql/） - 限制登录失败行为（MySQL 8.0+）：
ALTER USER 'root'@'localhost' FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 24;，防爆破 - 确认
skip-networking未启用（否则连本地 socket 都断了），但确保bind-address在my.cnf中设为127.0.0.1或内网 IP，而非0.0.0.0
备份与权限审计不能依赖 root
用 root 执行 mysqldump 或物理备份看似方便，实则埋下两个隐患：一是备份脚本若被篡改，可能顺带执行恶意语句；二是备份账号权限过大，一旦泄露等于交出全部钥匙。
更稳妥的做法是创建最小权限备份账号：
CREATE USER 'backup_user'@'localhost' IDENTIFIED BY 'bk_2024_pass!';-
GRANT LOCK TABLES, SELECT, SHOW VIEW ON *.* TO 'backup_user'@'localhost';（逻辑备份足够） - 若用 xtrabackup 物理备份，则无需 MySQL 权限，直接用系统账号 +
--user=mysql启动，反而更干净 - 每月用
SELECT User, Host, authentication_string FROM mysql.user;检查账号列表，对比上次基线，快速发现异常新增账号
最常被忽略的一点：应用部署时自动初始化数据库的脚本（比如 Laravel 的 php artisan migrate:fresh）如果用了 root，那每次部署都在重放一次高危操作。应该让部署流程用专用账号，并把 migration 权限严格控制在目标库内。
