CentOS 上 SQLAdmin 安全漏洞防范
一 身份与访问控制
- 创建专用的 sqladmin 系统账户，加入 wheel 组以便受控提权，使用 visudo 精确授权，避免共享 root。示例：
sudo useradd sqladmin、sudo usermod -aG wheel sqladmin、sudo visudo。
- 数据库侧创建最小权限的专用账号，避免使用 ALL PRIVILEGES；按需授予如
SELECT, INSERT, UPDATE, DELETE，并限定来源主机。示例：CREATE USER 'sqladmin'@'localhost' IDENTIFIED BY 'StrongPass!23'; GRANT SELECT, INSERT, UPDATE, DELETE ON appdb.* TO 'sqladmin'@'localhost'; FLUSH PRIVILEGES;。
- 强制 root 仅本地登录，禁止远程登录数据库 root；如需远程管理，使用具备最小权限的专用账号并启用加密通道。
二 网络与加密
- 仅暴露必要端口与服务，使用 firewalld 白名单放行管理来源 IP 与数据库端口（如 3306），其余默认拒绝。示例：
sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="3306" accept' && sudo firewall-cmd --reload。
- 全链路启用 SSL/TLS：在 Web/SQLAdmin 与数据库之间、以及管理通道（如 SSH）上启用加密；数据库侧可强制管理员账号使用 SSL，例如：
ALTER USER 'sqladmin'@'localhost' REQUIRE SSL;。
- 将 SQLAdmin 与数据库分层部署或置于隔离网络/VPC，减少直接暴露面；必要时通过跳板机或 SSH 隧道访问管理端口。
三 系统与软件更新及漏洞管理
- 持续更新 CentOS 与所有组件（含 SQLAdmin、数据库、Web 服务）以修复已知漏洞：
sudo yum update -y 或 sudo dnf update -y。
- 关闭不必要的服务与端口，遵循“最小化暴露”原则，降低被利用风险。
- 定期进行安全审计与漏洞扫描，使用如 OpenVAS、Nessus 等工具发现薄弱环节并整改。
四 日志审计与入侵防护
- 启用并集中系统日志与审计：关注 /var/log/secure、/var/log/messages、/var/log/mysqld，使用
journalctl -f 实时查看；配置 auditd 记录关键系统调用与文件访问，便于溯源。
- 部署 Fail2Ban 自动封禁暴力破解来源 IP，缩短攻击窗口。
- 启用 SQLAdmin/Web 服务的访问与错误日志，定期审计异常请求（如频繁失败登录、非法 SQL）。
五 Web 管理端专项防护（若为 phpMyAdmin 等 Web 工具）
- 将管理端置于 HTTPS，配置有效证书，禁用明文访问。
- 限制管理端仅允许内网或受控来源访问（配合 firewalld/UFW 白名单）。
- 强化 Web 服务器与 PHP 安全配置，设置安全响应头（如 CSP），降低 SQL 注入、XSS、CSRF 等风险；对输入进行多层校验与参数化处理，避免拼接 SQL。
- 定期备份 Web 配置与数据库，发生入侵可快速恢复。