确认MySQL备份权限最小化的方法

-- 1. 查看所有用户列表（确认备份账号存在，无多余账号）
SELECT user, host FROM mysql.user;

-- 2. 查看指定备份账号的全局权限（关键！排查是否有多余权限）
-- 示例：查询 backup_user@localhost 的全局权限
SHOW GRANTS FOR 'backup_user'@'localhost';

-- 3. 查看账号的库/表级权限（避免授予库级 ALL PRIVILEGES）
SELECT * FROM mysql.tables_priv WHERE user = 'backup_user';
SELECT * FROM mysql.db WHERE user = 'backup_user';

GRANT SELECT, LOCK TABLES, REPLICATION CLIENT ON *.* TO `backup_user`@`localhost`;

GRANT ALL PRIVILEGES ON *.* TO `backup_user`@`localhost`; -- 权限过大
GRANT SELECT, UPDATE, LOCK TABLES ON *.* TO `backup_user`@`localhost`; -- 包含 UPDATE 无关权限

GRANT SELECT, LOCK TABLES ON test.* TO `backup_user`@`localhost`;

GRANT SELECT ON *.* TO `backup_user`@`%`; -- 允许任意 IP 访问，泄露风险极高

-- MySQL 8.0 可查看密码策略，确认账号密码符合要求
SHOW VARIABLES LIKE 'validate_password%';

# 1. 检查 datadir 权限（仅 mysql 用户可读/写，其他用户无权限）
ls -ld /var/lib/mysql
# 正确权限：drwxr-x---  mysql mysql（750），禁止 777/755（其他用户可读取）

# 2. 检查备份目录权限（仅 mysql 用户可写，其他用户无访问权限）
ls -ld /backup/mysql
# 正确权限：drwx------  mysql mysql（700），禁止开放给 root 外的其他用户

-- 1. 回收所有现有权限（先清空，避免残留）
REVOKE ALL PRIVILEGES, GRANT OPTION FROM 'backup_user'@'localhost';

-- 2. 重新授予最小权限（仅 mysqldump 必需）
GRANT SELECT, LOCK TABLES, REPLICATION CLIENT ON *.* TO 'backup_user'@'localhost';

-- 3. 刷新权限使修改生效
FLUSH PRIVILEGES;

-- 4. 验证修改后的权限
SHOW GRANTS FOR 'backup_user'@'localhost';

-- 8.0 用 BACKUP_ADMIN 替代 SUPER，授予最小权限
REVOKE ALL PRIVILEGES FROM 'xtrabackup_user'@'localhost';
GRANT RELOAD, LOCK TABLES, REPLICATION CLIENT, BACKUP_ADMIN ON *.* TO 'xtrabackup_user'@'localhost';
FLUSH PRIVILEGES;

#!/bin/bash
# 检查 backup_user 的权限是否包含无关权限
GRANTS=$(mysql -uroot -p'RootPass@123' -e "SHOW GRANTS FOR 'backup_user'@'localhost';" | grep -v 'GRANT')
# 检查是否包含 UPDATE/DELETE/DROP 等危险权限
if echo "$GRANTS" | grep -E 'UPDATE|DELETE|DROP|ALL PRIVILEGES|SUPER'; then
  echo "告警：backup_user 权限包含危险权限，权限为：$GRANTS"
  # 可添加邮件/钉钉告警逻辑
else
  echo "backup_user 权限符合最小化要求，权限为：$GRANTS"
fi

crontab -e
# 添加一行：每天 0 点执行
0 0 * * * /bin/bash /usr/local/bin/check_backup_perm.sh >> /var/log/mysql/perm_check.log 2>&1

# my.cnf 开启审计（MySQL 8.0 可使用 audit_log 插件）
plugin-load-add = audit_log.so
audit_log_format = JSON
audit_log_events = CONNECT,QUERY
audit_log_file = /var/lib/mysql/audit.log
# 仅记录权限相关操作（GRANT/REVOKE/ALTER USER）
audit_log_filter = '{"filter":{"log":{"query":"^(GRANT|REVOKE|ALTER USER|CREATE USER)"}}}'

grep 'GRANT' /var/lib/mysql/audit.log