MySQL 数据库身份鉴别与安全配置指南

8. 是否设置保持登录的有效期

-- 默认 0，代表永不退出登录
SHOW VARIABLES LIKE '%wait_timeout%';

二、应对方案

针对第一部分的有效性检查中，涉及不满足的配置项，我们可以通过以下措施加以弥补。

1. 空口令问题

如存在空口令，可通过 root 执行以下命令：

ALTER USER [USER]@[HOST] IDENTIFIED BY '[PASSWORD]';

2. 口令复杂度

如未启用口令复杂度，可能会遇到暴力破解，因此建议设置相关项。

2.1 安装插件

MySQL 默认预留了口令复杂度插件：validate_password。我们只需要通过 root 用户安装即可：

INSTALL PLUGIN validate_password SONAME 'validate_password.so';

查看是否安装成功（如看到以下记录，代表成功）：

SHOW VARIABLES LIKE 'validate%';

2.2 参数解释

为加深各位的理解，对返回的参数加以说明。

2.2.1 validate_password_policy

MySQL 的密码策略包含以下 3 种：

• LOW 或 0：代表密码必须满足指定长度。
• MEDIUM 或 1（默认）：代表密码必须至少包含 1 个大写字母、1 个小写字母、1 个数字和 1 个特殊字符。
• STRONG 或 2：在满足 MEDIUM 的基础上，不允许存储在字典文件（dictionary file）中。

2.2.2 配套参数

2.3 调整参数

掌握了参数特征后，我们可以按需调整相关参数的值，以满足安全需要，执行命令如下：

-- 必须以 root 身份执行，且拥有 super 权限
SET GLOBAL [具体参数名称]=[VALUE];

3. 口令有效期

如满足口令定期更换的安全要求时，必须设置口令的有效期：

-- 必须以 root 身份执行，设置有效期为 90 天
SET GLOBAL default_password_lifetime=90;

4. 设置登录失败处理

假如要求你限制登录失败的次数以及失败次数达到上限后锁定用户，该怎么办？

4.1 安装插件

满足上述要求，需要安装 MySQL 自带的插件：connection_control，命令如下：

-- 必须以 root 身份执行
INSTALL PLUGIN CONNECTION_CONTROL SONAME 'connection_control.so';
INSTALL PLUGIN CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS SONAME 'connection_control.so';

4.2 参数解释

4.3 调整参数

掌握了参数特征后，我们同样可以按需调整相关参数的值，执行命令如下：

-- 必须以 root 身份执行，且拥有 super 权限
SET GLOBAL [具体参数名称]=[VALUE];

5. 设置登录保持时间

设置保持登录的有效期，过期自动退出登录状态：

-- 必须以 root 身份执行，设置保持登录的有效期为 1800 秒
SET GLOBAL wait_timeout=1800;