为什么需要限制来源IP

MySQL数据库默认允许用户从任意主机连接，这会增加被恶意攻击或非法访问的风险。在实际生产环境中，通常只需允许特定应用服务器或管理终端的IP访问。通过精细化的来源IP限制，可以显著缩小攻击面，提升数据库安全性。

MySQL账号与Host字段的关系

MySQL用户权限由用户名和Host字段共同决定。Host字段指定了允许连接的主机来源。在创建用户或授权时，必须明确Host值，例如：

• localhost：仅本机访问
• 192.168.1.100：仅指定IP访问
• 192.168.1.%：匹配192.168.1.x网段（通配符%）
• %：所有主机（不推荐）

注意：MySQL不支持CIDR写法（如192.168.1.0/24），需使用通配符或明确IP列表。

精细化管理操作步骤

1. 创建新用户时指定来源IP

示例：仅允许IP为192.168.1.50的应用服务器连接。

CREATE USER 'app_user'@'192.168.1.50' IDENTIFIED BY 'strong_password';
GRANT SELECT, INSERT, UPDATE ON mydb.* TO 'app_user'@'192.168.1.50';
FLUSH PRIVILEGES;

2. 修改已有用户的允许来源IP

方式一：使用RENAME USER更改Host。

RENAME USER 'old_user'@'%' TO 'old_user'@'192.168.1.%';

方式二：直接更新mysql.user表（需谨慎，建议先备份）。

UPDATE mysql.user SET host = '192.168.1.%' WHERE user = 'app_user' AND host = '%';
FLUSH PRIVILEGES;

3. 验证当前权限

SHOW GRANTS FOR 'app_user'@'192.168.1.%';
SELECT user, host FROM mysql.user;

结合防火墙策略

除了MySQL层面的Host限制，建议在操作系统或云安全组层面同步配置防火墙规则，仅允许特定来源IP访问MySQL端口（默认3306），实现双重防护。例如：

• Linux iptables：-A INPUT -p tcp -s 192.168.1.0/24 --dport 3306 -j ACCEPT
• 云平台安全组：入方向仅授权指定IP访问3306端口

最佳实践与注意事项

1. 遵循最小权限原则，只给应用分配必要的数据库权限。
2. 禁止远程root登录，root仅限localhost访问。
3. 定期审计用户的Host字段，删除过期或多余的授权账号。
4. 修改Host后务必执行FLUSH PRIVILEGES使配置生效。
5. 若应用使用动态IP，可考虑使用主机名或结合VPN内网固定IP方案。

通过以上措施，管理员能够精准确认每一个数据库连接的来源，有效降低数据泄露风险，符合企业安全合规要求。