MySQL 8.0等保三级安全测评加固实践指南

先说几个核心判断：MySQL 8.0 要过等保三级，不是装一堆插件就能了事的。真正的功夫，得落在身份鉴别、访问控制、传输加密、审计日志这四个环节上。哪一个没做闭环，测评的时候都可能直接被打成高风险项。下面把这四个部分拆开说清楚。

密码策略：validate_password 组件必须走起，策略设成 STRONG

MySQL 8.0 默认并不会帮你激活密码强度校验。光是人工改个复杂密码，根本满足不了等保三级对“复杂度+周期更换+失败锁定”这一整套要求。

• 首先得用 INSTALL COMPONENT 'file://component_validate_password' 把这个组件装上。注意了，老版本的 INSTALL PLUGIN validate_password SONAME 'validate_password.so' 已经废弃，别再用。
• 关键参数必须显式设置：SET GLOBAL validate_password.policy = 'STRONG'，同时把 validate_password.length 设成 12，mixed_case_count 设成 2，number_count 设成 2，special_char_count 设成 1。组合条件缺一不可。
• 全局设置只对后续生效，已有的用户怎么办？得补上这一句：ALTER USER 'root'@'localhost' PASSWORD EXPIRE INTERVAL 90 DAY。不然测评的时候会发现一大批账号密码永不过期。
• 字典检查这一关也容易被跳过去。SET GLOBAL validate_password.dictionary_file = '/etc/mysql/weak_passwords.txt' 能有效拦截常见弱口令，否则像 admin123、Passw0rd! 这类密码照样能通过。

双因子认证：caching_sha2_password + REQUIRE SSL 是最务实的方案

等保三级明确要求“两种及以上鉴别技术”。光靠密码——哪怕策略再强——也不够。MySQL 8.0 本身并不包含信息验证或硬件令牌这类机制，但可以用 caching_sha2_password 认证插件配合 SSL 强制连接，模拟出双因子的效果。

• 创建用户时必须带上 REQUIRE SSL：CREATE USER 'audit_admin'@'%' IDENTIFIED WITH caching_sha2_password BY 'Xy7#mQn!2026' REQUIRE SSL
• 验证是否生效很简单：SELECT user, host, ssl_type FROM mysql.user WHERE user = 'audit_admin'，结果必须是 ANY 或 X509。
• 如果服务端还没配置 SSL，这个用户根本登不上去——这不是 bug，是加固必然要付出的代价。一定要先在 my.cnf 中配好 ssl_ca、ssl_cert、ssl_key。
• 生产环境里切记不要保留 mysql_native_password 类型的用户。测评工具会扫描，一旦发现就会报“认证方式单一”。

权限体系：三权分立 + 禁用 root 远程

从实际测评数据来看，超过 35% 的失败案例都出在权限模型上——root 能远程登录、test 数据库敞开着、离职人员的账号还留在系统里。

• 立刻执行：DELETE FROM mysql.user WHERE user = 'root' AND host != 'localhost'，然后记得 FLUSH PRIVILEGES。
• 用角色替代直接授权是更专业的做法：CREATE ROLE 'app_writer'; GRANT INSERT, UPDATE ON app_db.* TO 'app_writer';，再把角色赋给应用账号。
• 默认的 test 库必须删掉：DROP DATABASE IF EXISTS test，然后确认 SELECT SCHEMA_NAME FROM information_schema.SCHEMATA WHERE SCHEMA_NAME = 'test' 返回空。
• 定期做一遍残留账号的核查也很重要：SELECT user, host, account_locked FROM mysql.user WHERE password_last_changed，把那些长期没更新密码的账号锁住。

审计日志：audit_log 组件启用后，必须验证日志完整性

等保三级要求“所有安全事件记录不可篡改”。很多人只是把 audit_log 开关打开就以为万事大吉，实际情况是日志可能写入失败，甚至被覆盖掉。

• 正确的启用命令是：INSTALL COMPONENT 'file://component_audit_log'，不是老式的插件方式。配置项写在 my.cnf 中：audit_log=FORCE_PLUS_PERMANENT。
• 必须确认日志真的落盘了：SELECT * FROM performance_schema.audit_log_summary_by_account LIMIT 1。没有返回？说明没生效。
• 日志文件的路径（比如 /var/log/mysql/audit.log）应该由一个独立的系统账号拥有（比如 mysql-audit），并且数据库进程本身不能有写权限——否则攻击者一旦拿下数据库，就能直接清空日志。
• 测评时还会抽样做比对：从日志里挑一条 Connect 事件，去 general_log 或业务日志里找对应时间戳的操作。对不上？那就是“审计不完整”。

最容易栽跟头的地方其实就两处：一是密码策略和审计日志的配置必须写进 my.cnf 持久化，不能只靠 SET GLOBAL 临时设置；二是 SSL 证书链必须完整可信，自签名证书在金融类测评中大概率不认。还有，所有 ALTER USER 操作之后必须接上 FLUSH PRIVILEGES，否则权限变更不会立刻生效。