如何限制系统用户访问MySQL数据目录权限

MySQL数据目录安全并不是单靠限制操作系统用户组实现的，而是要通过属主属组设置为mysql:mysql、目录权限控制为750、清理mysql组中的冗余成员，并结合SELinux/AppArmor安全上下文以及tmpdir、socket、日志等关键路径的访问控制协同完成。

mysql 的数据目录（例如 /var/lib/mysql）之所以能与普通用户环境隔离，核心并不只是“限制用户组访问”这么简单，而是依赖 Unix 文件权限、MySQL 进程运行身份以及系统安全模块的共同配合。只要其中任意一环配置不严，安全风险就会迅速出现：普通本地用户不仅可能直接通过 cat 读取 .ibd 文件，甚至还可能利用 mysqld 崩溃后遗留的内存映射间接接触到数据库内容。

datadir 归属和权限必须设为 750

MySQL 服务通常以 mysql 用户身份运行，默认也属于 mysql 组。将数据目录权限设置为 750 的含义非常明确：属主具备读、写、执行权限；属组具备读和执行权限；其他用户则完全无法访问。
如果权限被放宽到 755 或 775，那么服务器上的普通用户就可以直接执行 ls /var/lib/mysql 查看数据库目录名称，甚至还可能借助 strings 提取部分明文信息；如果进一步错误地设置为 777，就几乎等于完全放弃了 MySQL 数据目录的安全防护。

• 先确认真实路径：mysql -e "SELECT @@datadir;" 或查 my.cnf 中 datadir 配置项
• 递归修正归属：sudo chown -R mysql:mysql /var/lib/mysql
• 设目录权限（仅顶层目录，子目录继承 umask）：sudo chmod 750 /var/lib/mysql
• 严禁对子目录单独 chmod：MySQL 启动时会校验顶层目录权限，子目录权限过宽虽然不一定影响启动，但可能被攻击者利用进行绕过，例如写入临时文件

mysql 组里不能有非服务账号

mysql 组成员并不等于“能否读取 datadir 的少数人”，而是代表所有自动继承组权限的本地账户。只要某个用户被加入 mysql 组，即使没有密码、没有 shell，也依然可能通过 su -s /bin/sh -c 'ls /var/lib/mysql' mysql 成功执行访问操作——因为组权限是否生效，与用户是否正常登录并没有直接关系。

• 检查当前成员：getent group mysql
• 清理冗余用户：sudo gpasswd -d deploy mysql、sudo gpasswd -d admin mysql 等
• 理想状态是只含 mysql 用户本身，或为空（mysql:x:27:）
• 不要用 usermod -aG mysql $USER 给运维账号加组——这是限制操作系统用户读取 MySQL 数据目录时最常见的错误操作之一

SELinux 或 AppArmor 必须补上下文

即使 MySQL 数据目录文件权限设置正确，如果 SELinux（RHEL/CentOS）或 AppArmor（Ubuntu/Debian）没有正确放行，mysqld 进程也可能因为 denied 权限而启动失败或崩溃；反过来说，如果安全策略配置过于宽松，攻击者在提权后也可能借助进程权限绕过文件系统限制直接读取数据库文件。

• CentOS/RHEL：sudo semanage fcontext -a -t mysqld_db_t "/var/lib/mysql(/.*)?"，再 sudo restorecon -Rv /var/lib/mysql
• Ubuntu：sudo nano /etc/apparmor.d/usr.sbin.mysqld，确保含 /var/lib/mysql/** rwk,，然后 sudo systemctl reload apparmor
• 验证是否生效：ls -Z /var/lib/mysql 应显示 mysqld_db_t 上下文（SELinux）或 aa-status | grep mysqld 显示 enforce 模式（AppArmor）

别忽略 tmpdir 和 socket 文件的连带风险

datadir 安全，并不代表整个 MySQL 数据访问面就完全安全。很多攻击路径并不是直接读取数据库目录，而是从旁路文件和本地连接入口切入：

• tmpdir（例如 /tmp）如果设置为全局可写，SELECT ... INTO OUTFILE 就可能绕过 secure_file_priv 将敏感内容写出——应改为 /var/tmp/mysql-tmp 并执行 chown mysql:mysql && chmod 700
• mysql.sock 文件（例如 /var/run/mysqld/mysqld.sock）如果权限是 666，本地任意用户都可能连接并执行 SHOW VARIABLES 获取配置细节——必须设置为 chmod 660 且属主属组为 mysql:mysql
• 日志文件（error.log、slow.log）如果记录了明文 SQL 或敏感路径信息，也应设置为 chmod 640 并归属 mysql:mysql

真正困难的地方在于持续维护——无论是 mysqld 升级、备份脚本重置权限，还是运维人员手动 chown -R 到错误路径，都可能在瞬间击穿这层安全边界。每次配置变更后，都应重新执行 ls -ld /var/lib/mysql 和 getent group mysql 进行核查，确保 MySQL 数据目录权限、用户组成员和安全策略始终处于正确状态。