Debian 上 MariaDB 的安全性概览
在 Debian 上，MariaDB 的安全态势取决于三个层面：操作系统提供的安全更新与仓库治理、MariaDB 官方与发行版的安全修复节奏，以及你的配置与运维实践。总体上，Debian 稳定版通过官方仓库与 安全更新渠道 及时提供修复；MariaDB 历史上出现过需要升级修复的漏洞；若按默认与最佳实践进行加固（如运行安全脚本、限制网络访问、最小权限等），风险可显著降低。
已知风险与修复节奏
- 历史上存在需要关注的高危/中危问题，例如：
- CVE-2016-6663/CVE-2016-5616（权限提升/条件竞争，影响范围含 MariaDB 10.0.x < 10.0.28、10.1.x < 10.1.18、5.5.x < 5.5.52 等），通过升级到修复版本即可化解。
- CVE-2022-38791（本地死锁型缺陷，影响 10.9.2 之前版本），同样依赖版本更新修复。
- 近年仍有披露的高危项（如 CVE-2023-39593 等），厂商发布补丁后，用户需及时升级到包含修复的版本。
这些案例说明：保持版本更新是 MariaDB 安全的关键控制点。
Debian 默认配置的安全性与常见隐患
- 默认安装后，Debian 上的 MariaDB 常见特点包括：
- root 账户默认使用 unix_socket 插件进行本地认证，通常无需密码即可在本机以系统 root 身份进入数据库；这降低了远程暴力破解风险，但也意味着应严格限制本机可登录系统的账户与 sudo 权限。
- 安装后应立即执行 mysql_secure_installation，用于设置 root 密码、删除匿名用户、禁止远程 root 登录、移除测试库并刷新权限表，从而消除最常见的默认隐患。
- 若需要远程访问，务必审慎配置网络与访问控制，避免将 bind-address 开放到 0.0.0.0 且配合强认证与加密传输。
以上要点可显著提升默认安装的安全基线。
加固清单与操作要点
- 运行安全脚本并固化基线：执行 mysql_secure_installation，启用强 root 口令、清理匿名/测试对象、禁止远程 root。
- 网络最小化暴露：在 /etc/mysql/mariadb.conf.d/50-server.cnf 的 [mysqld] 中设置 bind-address = 127.0.0.1（仅本机），确需远程时仅开放到受控网段/跳板，并配合防火墙（如 ufw/iptables）限制来源。
- 禁用危险功能与降低攻击面：设置 local-infile=0，必要时修改默认端口（如从 3306 调整），并仅开启必要的日志（错误日志/查询日志/二进制日志按合规需要启用）。
- 认证与授权：为每个应用创建最小权限专用账户，避免使用 root 直连应用；按需启用 SSL/TLS 加密客户端连接；定期审计并清理不再使用的账户与权限。
- 系统与包管理：保持系统与 MariaDB 包为最新，启用 unattended-upgrades 自动安全更新；变更配置后按需要重启服务（如 systemctl restart mariadb）。
- 运维细节：避免在命令行中明文传参密码（如避免在 history 中留存凭据），并定期备份与演练恢复流程。
以上做法与 Debian 官方仓库维护、MariaDB 安全配置最佳实践一致，可有效降低风险暴露。