MySQL安全配置文档(2)

在以前版本的MySQL中，该选项使SHOW DATABASES语句只显示用户具有部分权限的数据库名。在MySQL 5.1中，该选项不再作为现在的 默认行为使用，有一个SHOW DATABASES权限可以用来控制每个账户对数据库名的访问。
     --safe-user-create
如果启用，用户不能用GRANT语句创建新用户，除非用户有mysql.user表的INSERT权限。如果你想让用户具有授权权限来创建新用户，你应给用户授予下面的权限：
mysql> GRANT INSERT(user) ON mysql.user TO 'user_name'@'host_name';
这样确保用户不能直接更改权限列，必须使用GRANT语句给其它用户授予该权限。
     --secure-auth
不允许鉴定有旧(pre-4.1)密码的账户。
     --skip-grant-tables
这个选项导致服务器根本不使用权限系统。这给每个人以完全访问所有的数据库的权力！（通过执行mysqladmin flush-privileges或mysqladmin eload命令，或执行FLUSH PRIVILEGES语句，你能告诉一个正在运行的服务器再次开始使用授权表。）
     --skip-name-resolve
主机名不被解析。所有在授权表的Host的列值必须是IP号或localhost。
     --skip-networking
在网络上不允许TCP/IP连接。所有到mysqld的连接必须经由Unix套接字进行。
     -skip-show-database
使用该选项，只允许有SHOW DATABASES权限的用户执行SHOW DATABASES语句，该语句显示所有数据库名。不使用该选项，允许所有用户执行SHOW DATABASES，但只显示用户有SHOW DATABASES权限或部分数据库权限的数据库名。请注意全局权限指数据库的权限。

　　mysql安全设置及性能优化配置全攻略，注意在不熟悉的情况下更改设置前最好进行备份，以免出错。
　　1、修改root用户的的口令
　　缺省情况下MySQL没有设置密码，我们可以用三种方法设置密码头：
　　* 用mysqladmin命令来改root用户口令
　　＃ mysqladmin -uroot password ecan5com //设置MySQL管理操作用户root的密码为52netseek
　　* 用set password修改口令：
　　mysql> set password for root@localhost=password('ecan5com');
　　* 直接修改user表的root用户口令    
　　mysql> use mysql;
　　mysql> update user set password=password('ecan5com') where user='root';
　　mysql> flush privileges;
　　2、删除默认的数据库和用户
　　我们的数据库是在本地，并且也只需要本地的php脚本对mysql进行读取，所以很多用户不需要。m
　　ysql初始化后会自动生成空用户和test库，这会对数据库构成威胁，我们全部删除。
　　我们使用mysql客户端程序连接到本地的mysql服务器后出现如下提示：
　　mysql> drop database test;
　　mysql> use mysql;
　　mysql> delete from db;
　　mysql> delete from user where not(host="localhost" and user="root");
　　mysql> flush privileges;
　　3、 改变默认mysql管理员的名称 //仅为建议
　　根据个人习惯，因为默认的mysql的管理员名称是root，所以如果能够修改的话，
　　能够防止一些脚本小子对系统的穷举。我们可以直接修改数据库，把root用户改为"admin"
　　mysql> use mysql;
　　mysql> update user set user="admin" where user="root";
　　mysql> flush privileges;
　　4、提高本地安全性
　　提高本地安全性，主要是防止mysql对本地文件的存取，比如黑客通过mysql把/etc/passwd获取了，会对系统构成威胁。
　　mysql对本地文件的存取是通过SQL语句来实现，主要是通过Load DATA LOCAL INFILE来实现，我们能够通过禁用该功能来
　　防止黑客通过SQL注射等获取系统核心文件。 禁用该功能必须在 my.cnf 的[mysqld]部分加上一个参数：
　　set-variable=local-infile=0
　　5、禁止远程连接mysql
　　因为我们的mysql只需要本地的php脚本进行连接，所以我们无需开socket进行监听，那么我们完全可以关闭监听的功能。
　　有两个方法实现：
　　* 配置my.cnf文件，在[mysqld]部分添加 skip-networking 参数
　　* mysqld服务器中参数中添加 --skip-networking 启动参数来使mysql不监听任何TCP/IP连接，增加安全性。如果要进行mysql的管理的话,可以在服务器本地安装一个phpMyadmin来进行管理。
　　6、控制数据库访问权限
　　对于使用php脚本来进行交互，最好建立一个用户只针对某个库有 update、select、delete、insert、drop table、create table等权限，这样就很好避免了数据库用户名和密码被黑客查看后最小损失。
　　比如下面我们创建一个数据库为db1，同时建立一个用户test1能够访问该数据库。
　　mysql> create database db1;
　　mysql> grant select,insert,update,delete,create,drop privileges on db1.* to test1@localhost identified by 'admindb';
　　以上SQL是创建一个数据库db1，同时增加了一个test1用户，口令是admindb，但是它只能从本地连接mysql，对db1库有select,insert,update,delete,create,drop操作权限。
　　7、限制一般用户浏览其他用户数据库
　　如果有多个数据库，每个数据库有一个用户，那么必须限制用户浏览其他数据库内容，可以在启动MySQL服务器时加--skip-show-database 启动参数就能够达到目的。
　　忘记mysql密码的解决办法
　　如果不慎忘记了MySQL的root密码，我们可以在启动MySQL服务器时加上参数--skip-grant-tables来跳过授权表的验证 (./safe_mysqld --skip-grant-tables &)，这样我们就可以直接登陆MySQL服务器，然后再修改root用户的口令，重启MySQL就可以用新口令登陆了。
　　8、数据库文件的安全
　　我们默认的mysql是安装在/usr/local/mysql目录下的，那么对应的数据库文件就是在/usr/local/mysql/var目录下，那么我们要保证该目录不能让未经授权的用户访问后把数据库打包拷贝走了，所以要限制对该目录的访问。
我们修改该目录的所属用户和组是mysql，同时改变访问权限：
　　# chown -R mysql.mysql /usr/local/mysql/var
　　# chmod -R go-rwx /usr/local/mysql/var
　　9、删除历史记录
　　执行以上的命令会被shell记录在历史文件里，比如bash会写入用户目录的.bash_history文件，如果这些文件不慎被读，
　　那么数据库的密码就会泄漏。用户登陆数据库后执行的SQL命令也会被MySQL记录在用户目录的.mysql_history文件里。
　　如果数据库用户用SQL语句修改了数据库密码，也会因.mysql_history文件而泄漏。所以我们在shell登陆及备份的时候
　　不要在-p后直接加密码，而是在提示后再输入数据库密码。 另外这两个文件我们也应该不让它记录我们的操作，以防万一。
　　# rm .bash_history .mysql_history
　　# ln -s /dev/null .bash_history
　　# ln -s /dev/null .mysql_history
　　10、其他
　　另外还可以考虑使用chroot等方式来控制mysql的运行目录，更好的控制权限，具体可以参考相关文章。
　　my.cnf的调试参数
　　11、快速修复MySQL数据库
　　修复数据库
　　# mysqlcheck -A -o -r -p
　　修复指定的数据库
　　# mysqlcheck -o -r Database_NAME -p
　　12、跟据内存的大小选择MySQL的负载,选择相应的文件名复制到/etc/my.cnf
　　如果是RPM包安装:/usr/share/doc/mysql-XXX/目录下有
　　如果是源代码编译安装:support-files/目录下有.
　　cp /usr/local/share/mysql-***/my-large.cnf /etc/my.cnf
　　my-small.cnf # > my-medium.cnf # 32M - 64M
　　my-large.cnf # memory = 512M
　　my-huge.cnf # 1G-2G
　　my-innodb-heavy-4G.cnf # 4GB