sql - CMS 的 MySQL 用户的推荐 SQL 权限

Question

我最近一直在尝试许多 Web 开发应用程序，例如 Drupal、Moodle、Efront 和 Elgg。为了提高安全性，我使用 Parallels 在 Mac OS X 10.4 内的虚拟 XP 计算机上的 XAMPP 设置上运行测试服务器。我认为这应该非常安全，对吧？

安装 Elgg 这样的软件时，它要求我在 MySQL 服务器中创建一个用户，以便它访问数据库。我想知道我创建新用户的方法是否正确，以及我应该授予该用户什么权限。

目前，我通过进入 PHPMyAdmin、MySQL 数据库、用户表并插入新行来创建新用户。它是否正确？由于某种原因，它并不总是有效。

PS - 我应该为所有这些烦恼，还是让每个软件使用我的 root 帐户？

Answer 1

您使用的 MySQL 用户权限非常重要，可以防止您被黑客攻击。您应该遵循最小权限访问系统。

要在 PHPMyAdmin 中添加用户:1)以root身份登录2)进入权限选项卡3)点击“添加新用户”。

PHPMyAdmin 将 MySQL 权限分组为数据、结构和管理。

应禁用 Web 应用程序的“管理”权限，只有 root 才应具有此访问权限。除非应用程序允许查询堆栈，否则任何“管理”权限都不能用于 SQL 注入(inject)攻击。 (大多数人不允许这样做!)

在安装 Web 应用程序期间，需要“结构”权限来构建数据库，但是在 Web 应用程序的操作过程中几乎不需要这些权限，因此可以将其关闭。

“数据”部分很棘手。 “FILE”权限是您可以授予 Web 应用程序的最危险的权限。原因是因为它允许黑客利用 SQL 注入(inject)漏洞在您的服务器上读写文件。 "file"访问是唯一可以为攻击者提供远程代码执行 (RCE) 的权限，因此必须始终禁用。

最后但并非最不重要的一点是，Apache Friends XAMPP 是一个糟糕的软件。存在已知漏洞，并且近一年来一直没有修补。我重新开始使用 Ubuntu 的 LAMP 安装，它既易于使用又安全。