MySQL 安全加固終極指南：5 步鎖死數據庫防黑客

-- 登入 MySQL root
mysql -u root -p

-- 剷走 anonymous users
DELETE FROM mysql.user WHERE User='';

-- 剷走 test database
DROP DATABASE IF EXISTS test;

-- 清除 test 相關權限
DELETE FROM mysql.db WHERE Db='test' OR Db='test\\_%';

-- 重新載入權限表
FLUSH PRIVILEGES;

-- 安裝密碼驗證插件
INSTALL PLUGIN validate_password SONAME 'validate_password.so';

-- 設定密碼策略（最少 12 位、要有大細階+數字+特殊字符）
SET GLOBAL validate_password.length = 12;
SET GLOBAL validate_password.mixed_case_count = 1;
SET GLOBAL validate_password.number_count = 1;
SET GLOBAL validate_password.special_char_count = 1;
SET GLOBAL validate_password.policy = 'STRONG';

-- 啟用帳户鎖定（5 次失敗鎖 2 日）
CREATE USER 'app_user'@'%' 
  IDENTIFIED BY 'SuperStrongP@ssw0rd2026' 
  FAILED_LOGIN_ATTEMPTS 5 
  PASSWORD_LOCK_TIME 2;

# 編輯 MySQL config（Ubuntu/Debian）
sudo vim /etc/mysql/mysql.conf.d/mysqld.cnf

# 加入以下設定
[mysqld]
bind-address = 127.0.0.1    # 只聽 localhost（如需要 remote 就改內網 IP）
require_secure_transport = ON
ssl-ca = /etc/mysql/certs/ca.pem
ssl-cert = /etc/mysql/certs/server-cert.pem
ssl-key = /etc/mysql/certs/server-key.pem

-- 建立 SSL 用户（強制加密連線）
CREATE USER 'secure_user'@'192.168.1.%' 
  IDENTIFIED BY 'SecureP@ss2026' 
  REQUIRE SSL;

-- 檢查現有用户 SSL 狀態
SELECT User, Host, ssl_type FROM mysql.user;

-- ❌ 千祈唔好咁做
GRANT ALL PRIVILEGES ON *.* TO 'app_user'@'%';

-- ✅ 正確做法：只俾必要權限
GRANT SELECT, INSERT, UPDATE, DELETE 
  ON myapp_db.* 
  TO 'app_user'@'192.168.1.%';

-- 連 DROP/ALTER 都唔俾（除非真係需要）
-- Application user 唔應該有 DDL 權限

-- 檢查用户權限
SHOW GRANTS FOR 'app_user'@'192.168.1.%';

-- 啟用 general query log（debug 用，唔好長期開）
SET GLOBAL general_log = 'ON';
SET GLOBAL general_log_file = '/var/log/mysql/query.log';

-- 啟用 error log（必須長期開）
-- 喺 my.cnf 設定：
-- [mysqld]
-- log_error = /var/log/mysql/error.log

-- 啟用 slow query log（性能+安全雙重用途）
SET GLOBAL slow_query_log = 'ON';
SET GLOBAL long_query_time = 2;
SET GLOBAL slow_query_log_file = '/var/log/mysql/slow.log';

# 用 MySQL Enterprise Audit Plugin（MySQL Enterprise Edition）
# 或者用 Percona Audit Plugin（免費替代）
# 安裝 Percona Audit Plugin
sudo apt install percona-server-server  # 已內置 audit plugin

# 啟用 audit log
INSTALL PLUGIN audit_log SONAME 'audit_log.so';
SET GLOBAL audit_log_format = 'JSON';
SET GLOBAL audit_log_policy = 'ALL';  # 記錄所有連線同查詢

# 加密備份（用 mysqldump + openssl）
mysqldump -u root -p --all-databases --single-transaction \
  | openssl enc -aes-256-cbc -salt -pass pass:YourBackupPassword \
  > /backup/mysql_$(date +%Y%m%d).sql.enc

# 解密還原
openssl enc -aes-256-cbc -d -pass pass:YourBackupPassword \
  -in /backup/mysql_20260612.sql.enc \
  | mysql -u root -p