数据库安全加固与审计实战：权限最小化、加密、脱敏与合规

-- 最小授权示例：应用账号只给业务库的操作权限
CREATE USER 'app'@'10.0.%' IDENTIFIED BY '<强密码>';
GRANT SELECT, INSERT, UPDATE, DELETE
  ON appdb.* TO 'app'@'10.0.%';
-- 绝不：GRANT ALL ON *.* TO 'app'@'%';

-- 只读账号用于报表
CREATE USER 'read_only'@'10.1.%' IDENTIFIED BY '<强密码>';
GRANT SELECT ON appdb.* TO 'read_only'@'10.1.%';

账号绑定来源 IP/网段（'app'@'10.0.%'），
禁止 '%'（任意来源）除非有强烈理由；
端口只对可信内网/VPC 开放，公网默认关闭；
数据库服务不暴露在跳板机之外。

-- MySQL 启用 SSL
[mysqld]
ssl_ca      = /path/ca.pem
ssl_cert    = /path/server-cert.pem
ssl_key     = /path/server-key.pem

-- 强制应用连接走 TLS
ALTER USER 'app'@'10.0.%' REQUIRE SSL;

存储层加密手段：
  · 云厂商：EBS/云盘加密（块级透明加密，对应用零改造）
  · 数据库 TDE：表空间透明加密（如 MySQL 8.0 + keyring，数据文件落地即密文）
  · 自建：LUKS/dm-crypt 全盘加密

关键：密钥管理不要和数据库放同一台机器/同一密钥保险柜。
      加密目的不是防"数据库管理员"，而是防"磁盘被偷/备份被拖库"。

-- 动态脱敏示例（MySQL 8.0 视图/列安全）+ 展示打码：
-- 生产账号查身份证时返回打码版本
SELECT CONCAT(LEFT(id_card,3), '****', RIGHT(id_card,4)) AS id_card_masked
FROM users WHERE id = 1;

-- 更优雅：通过视图/列权限控制，敏感列对低权限账号直接不可见
CREATE VIEW v_users_public AS
SELECT id, CONCAT(LEFT(phone,3),'****',RIGHT(phone,4)) AS phone, nickname
FROM users;

-- MySQL Enterprise Audit / 或开启 general log 到指定表
INSTALL PLUGIN audit_log SONAME 'audit_log.so';
SET GLOBAL audit_log_file = '/var/log/mysql/audit.log';
SET GLOBAL audit_log_policy = 'LOGINS';  -- 或 'ALL'/'QUERIES'

-- 分析常见越权：
--   · DDL/DCL 操作（CREATE/ALTER/GRANT）
--   · 高风险数据表访问（脱敏列、金库表）
--   · 异常时间段/来源登录

常见合规基线（等保2.0 / GDPR / 行业监管）通常要求：
  · 账号唯一、权限最小、定期回收
  · 登录与关键操作审计留痕 ≥ 6 个月
  · 敏感数据分类分级 + 访问控制
  · 备份加密、传输加密、最小化暴露面
  · 高危操作（DROP/TRUNCATE/GRANT）双人复核

-- ❌ 拼接
-- SELECT * FROM user WHERE name='"+ name +"'

-- ✅ 参数化
-- SELECT * FROM user WHERE name = ?

数据库防火墙/代理（如云上的 DB 防火墙、自建 SQL 网关）：
  · 语法级白名单：只放行符合规则的 SQL
  · 行为基线：异常高频、高危语句告警/阻断
  · 敏感库表访问控制：限制 SELECT * FROM users 脱敏列

适合对"高危 SQL 必须拦截"的强合规场景，
但在纯内网、连接少的环境，注入防御优先靠代码层参数化。