MySQL高级讲座篇之：MySQL的`Account Locking`功能：如何防止暴力破解？ - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

嘿，各位老铁，早上好/下午好/晚上好！我是你们的MySQL老司机，今天咱们来聊点刺激的——Account Locking，也就是账户锁定，这玩意儿可是防止熊孩子们（或者黑客叔叔）暴力破解你数据库的秘密武器。

讲座主题：MySQL的Account Locking功能：如何防止暴力破解？

一、啥是暴力破解？

简单来说，暴力破解就是拿字典疯狂尝试密码，直到撞对了为止。想象一下，你家门锁是三位数的密码锁，熊孩子从000一直试到999，总有一天能打开你家门（当然，前提是你家门锁够烂）。数据库也一样，如果不对登录失败次数做限制，黑客就可以一直尝试各种密码组合，直到攻破你的数据库。

二、 Account Locking 的作用

Account Locking 的作用就是给你的数据库账户加一道防盗门。当某个账户登录失败次数超过预设的阈值，就自动锁定这个账户一段时间，让黑客没法继续尝试密码。这样就能大大降低被暴力破解的风险。

三、 MySQL Account Locking 的实现方式

MySQL 8.0 版本之后，引入了更强大的账户锁定机制。之前的版本虽然也能实现类似功能，但配置和管理起来比较麻烦。所以咱们重点讲MySQL 8.0 及以上版本的实现方式。

1. 锁定策略（Password Policy）

MySQL 8.0 引入了 Password Policy，通过它可以设置密码的复杂性要求、过期时间、以及账户锁定策略。

2. 账户锁定机制的核心参数

failed_login_attempts: 允许的最大登录失败次数。
password_lock_time: 账户锁定的时长，单位是天。

四、 Account Locking 的配置步骤（以MySQL 8.0为例）

步骤一：检查是否安装了validate_password插件

validate_password插件用于增强密码的安全性，虽然不是必须的，但强烈建议安装。

SHOW PLUGINS LIKE 'validate_password';

如果结果为空，说明没有安装，需要安装：

INSTALL PLUGIN validate_password SONAME 'validate_password.so';

步骤二：配置全局参数

配置failed_login_attempts和password_lock_time这两个全局参数。

SET GLOBAL failed_login_attempts = 3;  -- 允许最大登录失败次数为3次
SET GLOBAL password_lock_time = 1;      -- 锁定时间为1天

敲黑板！重点来了！ 这两个参数是全局参数，修改后需要重启MySQL服务才能生效。 (在某些情况下, 使用FLUSH PRIVILEGES;可能也能让部分更改生效，但不保证全部生效，建议还是重启服务最稳妥)

步骤三：创建用户并应用锁定策略

创建用户时，使用PASSWORD EXPIRE ACCOUNT LOCK选项。

CREATE USER 'test_user'@'%' IDENTIFIED BY 'YourStrongPassword123' PASSWORD EXPIRE ACCOUNT LOCK;

'test_user'@'%'：用户名和允许登录的IP地址，%表示允许所有IP地址登录。
IDENTIFIED BY 'YourStrongPassword123'：设置用户的密码，一定要足够强壮，包含大小写字母、数字和特殊字符。
PASSWORD EXPIRE ACCOUNT LOCK：关键所在！这个选项表示启用账户锁定功能。如果没有这个选项，即使设置了failed_login_attempts和password_lock_time，账户也不会被锁定。

步骤四：测试账户锁定

使用错误的密码多次尝试登录test_user账户，超过failed_login_attempts设置的值，账户就会被锁定。

步骤五：解锁账户

账户锁定后，需要管理员手动解锁。解锁账户的方法有两种：

方法一：修改账户密码

修改账户密码可以自动解锁账户。
```
ALTER USER 'test_user'@'%' IDENTIFIED BY 'NewStrongPassword456';
```
方法二：使用ALTER USER ... PASSWORD UNLOCK命令
```
ALTER USER 'test_user'@'%' PASSWORD UNLOCK;
```

五、 Account Locking 的相关SQL命令总结

命令	作用
`SHOW GLOBAL VARIABLES LIKE 'failed_login_attempts';`	查看全局变量`failed_login_attempts`的值。
`SHOW GLOBAL VARIABLES LIKE 'password_lock_time';`	查看全局变量`password_lock_time`的值。
`SET GLOBAL failed_login_attempts = 3;`	设置全局变量`failed_login_attempts`的值为3。
`SET GLOBAL password_lock_time = 1;`	设置全局变量`password_lock_time`的值为1。
`CREATE USER 'test_user'@'%' IDENTIFIED BY 'YourStrongPassword123' PASSWORD EXPIRE ACCOUNT LOCK;`	创建用户`test_user`并启用账户锁定功能。
`ALTER USER 'test_user'@'%' IDENTIFIED BY 'NewStrongPassword456';`	修改用户`test_user`的密码，同时解锁账户。
`ALTER USER 'test_user'@'%' PASSWORD UNLOCK;`	解锁用户`test_user`账户。
`SELECT user, account_locked FROM mysql.user WHERE user = 'test_user';`	查询用户`test_user`的账户锁定状态。`account_locked`字段的值为`Y`表示已锁定，为`N`表示未锁定。需要注意的是，这个查询需要有访问`mysql.user`表的权限。

六、预防暴力破解的组合拳

仅仅使用 Account Locking 还是不够的，就像仅仅给门安一个锁，而窗户没关一样。你需要打出一套组合拳，才能更有效地预防暴力破解。

1. 强密码策略：
- 使用validate_password插件，强制用户设置强密码。
- 密码长度要足够长，最好超过12位。
- 密码要包含大小写字母、数字和特殊字符。
- 定期更换密码。
2. 限制IP地址：
- 尽量只允许特定的IP地址或IP地址段访问数据库。
- 对于不需要远程访问的账户，只允许本地访问（'user'@'localhost'）。
3. 使用SSL加密连接：
- 开启SSL加密，防止密码在网络传输过程中被窃取。
4. 定期审计日志：
- 定期查看MySQL的日志，监控是否有异常登录尝试。
5. 使用防火墙：
- 使用防火墙限制对MySQL端口的访问。
6. 蜜罐：
- 设置一些假的账户和密码，吸引黑客攻击，从而及时发现并阻止攻击。

七、 Account Locking 的注意事项

1. 全局参数的生效：
- 修改failed_login_attempts和password_lock_time之后，需要重启MySQL服务才能生效。
2. 用户创建时启用：
- 创建用户时必须使用PASSWORD EXPIRE ACCOUNT LOCK选项，才能启用账户锁定功能。
3. 解锁权限：
- 解锁账户需要具有ALTER USER权限。
4. 监控与告警：
- 需要监控账户锁定情况，并及时发出告警。
5. 合理设置阈值：
- failed_login_attempts和password_lock_time的值要根据实际情况合理设置，太小可能会误伤正常用户，太大则起不到保护作用。

八、举个栗子：防止Root账户被暴力破解

Root账户是数据库的最高权限账户，一旦被攻破，后果不堪设想。所以一定要重点保护Root账户。

步骤一：禁止Root账户远程登录

Root账户只允许本地登录。

CREATE USER 'root'@'localhost' IDENTIFIED BY 'YourSuperStrongRootPassword';
GRANT ALL PRIVILEGES ON *.* TO 'root'@'localhost' WITH GRANT OPTION;
-- 删除允许root从其他IP登录的账户
DROP USER 'root'@'%';

步骤二：设置Root账户的锁定策略

ALTER USER 'root'@'localhost' PASSWORD EXPIRE ACCOUNT LOCK;

步骤三：监控Root账户的登录情况

定期查看MySQL的日志，监控Root账户是否有异常登录尝试。如果发现有异常，立即采取措施。

九、高级技巧：结合存储过程实现更灵活的锁定策略

你可以编写存储过程，结合事件调度器，实现更灵活的锁定策略。例如：

根据登录失败的IP地址，动态调整锁定时间。
记录登录失败的详细信息，方便后续分析。
自动发送告警邮件或短信。

十、总结

Account Locking 是防止MySQL数据库被暴力破解的重要手段之一。通过合理配置Account Locking 策略，并结合其他的安全措施，可以大大提高数据库的安全性。记住，安全无小事，一定要时刻保持警惕，才能让你的数据库安全无忧！

十一、互动环节（可选）

大家有什么问题吗？
你们公司是如何防止数据库被暴力破解的？
你们遇到过Account Locking方面的问题吗？

欢迎大家踊跃提问，积极分享经验！

好了，今天的讲座就到这里，感谢大家的参与！希望大家以后多多关注我的频道，我会继续分享更多MySQL相关的技术知识。下次见！

发表回复 取消回复

发表回复取消回复