在数据库运维中，使用高权限账号连接应用是常见风险。一旦账号泄露，攻击者可读取、篡改甚至删除所有数据。最小权限原则要求账号仅拥有完成任务所必需的权限，以降低数据泄露和误操作风险。
最小权限原则的核心是：账号只能访问被明确授权的数据库，并且只能执行被允许的操作。例如，报表查询账号只需SELECT权限，不需要INSERT、UPDATE或DELETE。
明确应用或人员需要操作哪些数据库、哪些表以及何种操作，据此定义权限边界。
使用CREATE USER创建账号，然后用GRANT授予精确权限，避免全局授权。
示例：创建仅可查询sales_db的账号：
CREATE USER 'report_user'@'192.168.1.%' IDENTIFIED BY 'strong_password';
GRANT SELECT ON sales_db.* TO 'report_user'@'192.168.1.%';
通过@'host'限定账号只能从特定IP或网段连接，缩小攻击暴露面。
定期执行SHOW GRANTS查看账号权限，及时使用REVOKE回收闲置权限。
启用MySQL审计日志，记录敏感操作，及时发现异常行为。
GRANT ALL PRIVILEGES ON *.*为应用账号授权。最小权限管控是数据库安全的重要基础。通过精细化授权，IDC服务商可帮助客户有效降低安全风险，满足等保合规要求。
企业微信
微信公众号
