应用不应使用MySQL root账户连接，因其权限过高易被SQL注入或配置泄露利用；应创建最小权限专用账号并限制访问范围，同时禁用root远程登录、强化密码策略、关闭不必要日志、启用登录失败锁定，并用专用账号执行备份与迁移。
为什么不能直接用 root 连接应用
MySQL 的 root 账户默认拥有所有权限，包括 DROP DATABASE、SHUTDOWN、修改系统变量等高危操作。一旦应用代码存在 SQL 注入漏洞，或配置文件意外泄露（比如被误传到 GitHub），攻击者就能直接执行任意命令，删库、提权、导出敏感数据一气呵成。
真实案例中，不少运维在开发环境图省事用 root@localhost 写进 Django 的 DATABASES 配置，结果测试服务器被扫描到后 3 分钟内数据库清空——不是因为黑客多强，而是因为 root 权限没做切割。
- 应用连接应使用专用账号，只授予
SELECT、INSERT、UPDATE、DELETE等必要权限，且限定在具体数据库（如GRANT SELECT ON myapp.* TO 'myapp_user'@'192.168.1.%'） - 禁止给应用账号授予
GRANT OPTION、CREATE USER、PROCESS或FILE权限 - 本地调试时也别用
root；可用CREATE USER 'dev'@'localhost' IDENTIFIED BY 'pwd123'; GRANT ALL ON test_%.* TO 'dev'@'localhost';隔离范围
如何安全地禁用或锁定 root 远程登录
默认安装的 MySQL 往往允许 root@'%' 或 root@'192.168.%' 远程连接，这是最大风险入口。真正需要远程管理时，应该走跳板机或 SSH 隧道，而不是开放 root 的网络访问。
检查当前 root 登录方式：SELECT User, Host FROM mysql.user WHERE User = 'root';。如果看到 Host 列是 %、192.168.% 或公网 IP，立刻处理。
- 删除非必要 host 记录：
DROP USER 'root'@'%';（注意：MySQL 8.0+ 必须用DROP USER，不能只删表） - 保留且仅保留
root@localhost（Unix socket 或 127.0.0.1 连接），并确保该账号密码强度足够（至少 12 位含大小写字母+数字+符号） - 若必须远程管理，创建独立管理员账号：
CREATE USER 'dba_admin'@'10.10.5.%' IDENTIFIED BY 'strong_pwd_2024!'; GRANT SELECT, INSERT, UPDATE, DELETE, SHOW VIEW ON *.* TO 'dba_admin'@'10.10.5.%' WITH GRANT OPTION;，再通过防火墙限制其来源 IP 段
mysql_secure_installation 不够用，还得手动加固
mysql_secure_installation 只能帮你删掉匿名用户、测试库、禁止 root 远程——它不会改密码策略、不会关日志暴露、也不会限制失败登录次数。很多团队运行完这个脚本就以为“安全了”，结果被暴力破解拖库。
