这些 MySQL 用户设置是否存在漏洞？

Question

我使用 PHPMyAdmin 来管理数据库，总体来说我对 SQL 还不熟悉。我是否应该在本地主机上保留一个开放的匿名用户，以便 Drupal 之类的东西可以访问 MySQL？在我的服务器主机名上拥有一个没有密码的根用户似乎有点愚蠢，但我不知道我一般用这个做什么。名字以 a 开头的用户b是我用来登录和执行诸如创建数据库之类的操作的用户。

Answer 1

您不需要没有密码保护的帐户。我的建议：

• 保留 root 帐户并从 localhost 进行访问，并拥有所有受密码保护的权限
• 删除其他 root 帐户
• 为您的网络应用程序创建有限的帐户[可能只是选择/插入/更新/删除]。
• 当您在进行某些 web 应用程序更新时 [ 需要更改 sql 结构 ]，暂时授予用户先前的权限来修改结构，并在升级成功后撤销这些权限。

Answer 2

任何访问 MySQL 的应用程序都应提供连接凭据，并且应使用仅具有足够权限执行所需操作的帐户。例如，无需拥有只需要能够写入 Drupal 数据库、可以访问服务器上所有数据库的帐户。

设置完成后，您可以删除没有密码的帐户，或者为其添加密码，从而消除安全漏洞。