数据库安全覆盖传输、存储、访问、使用、审计、灾备全生命周期，分为网络层、数据库层、应用层、管理运维层，同时匹配等保、数据安全法、个人信息保护法合规要求。
一、身份认证与访问权限控制（防越权访问）
强身份认证
数据库账号密码复杂度策略，禁止弱口令；支持多因素 MFA 认证。
区分超级管理员、DBA、业务账号、只读账号，业务程序不使用 root/sa 高权限账号连接数据库。
限制客户端登录来源 IP，白名单访问，禁止公网直接暴露数据库端口。
权限最小化原则
细粒度授权：区分
SELECT/INSERT/UPDATE/DELETE/CREATE/ALTER/DROP，按表、视图、存储过程分配权限。角色 RBAC 权限模型：把权限封装成角色，用户绑定角色，方便批量权限管理。
行级权限 RLS、列级权限：部分数据库支持，控制用户只能查看指定行、隐藏敏感字段（手机号、身份证）。
定期回收闲置账号、离职人员账号权限。
二、数据加密（防止数据泄露，静态 + 传输）
传输加密 TLS/SSL 客户端与数据库之间通信全部加密，避免中间人抓包窃取 SQL 语句和返回数据；禁止明文 TCP 连接。
静态存储加密 TDE 透明数据加密 数据库文件、数据页、日志文件落盘加密，磁盘文件被盗无法直接解析；密钥独立管理，不和数据库存放在一起。
字段级加密（敏感业务字段） 身份证、手机号、银行卡等核心敏感数据，应用层加密存储；支持加盐哈希、AES 对称加密；密钥由密钥管理系统 KMS 保管，数据库本身看不到明文。
区分：TDE 保护整个库，字段加密保护个别敏感列，适合个人信息。
脱敏
动态脱敏：查询时实时返回掩码数据，DBA 运维查询看不到明文，业务正常用户看到真实数据。
静态脱敏：生产数据导出到测试、开发环境，提前把敏感数据替换成假数据，避免测试库泄露真实数据。
三、SQL 注入防护（应用‑数据库协同）
数据库本身不能完全挡住注入，需要应用 + 数据库配合：
应用侧：预编译语句 PreparedStatement、参数化查询，禁止拼接 SQL 字符串；避免直接拼接用户输入。
禁止数据库账号执行危险存储过程、高危函数。
数据库防火墙 / 数据库审计：拦截异常 SQL，例如批量拖库、大量
SELECT *、drop/truncate 高危语句告警阻断。输入校验，禁止把用户输入直接当作表名、字段名。
四、审计与日志追溯（事后溯源）
数据库审计日志：记录登录、账号变更、DDL（建表删表改结构）、DML 增删改查、权限变更操作。
日志独立存储，禁止数据库管理员修改、删除审计日志，防止作案后销毁痕迹。
告警：异常登录、批量删除、大量导出数据、权限变更实时告警。
慢查询日志、错误日志辅助安全排查。
五、备份与灾难恢复（防数据丢失、勒索病毒）
定期全量备份 + 增量备份，备份文件加密存储；备份与生产库物理隔离。
定期做备份恢复演练，验证备份可用；防止勒索病毒加密数据库同时加密本地备份。
异地容灾：主从、多副本，应对硬件故障、机房灾难。
防误删：生产环境禁止随意执行 drop/truncate，开启回收站、闪回功能，支持误操作数据回滚。
六、数据库自身安全加固
版本升级：及时打数据库安全补丁，修复 CVE 漏洞。
修改默认端口，移除默认示例库，禁用不需要的存储过程、扩展插件。
关闭不必要的功能，禁用远程匿名账号。
防勒索：限制存储过程访问本地文件系统，禁止
LOAD_FILE、OUTFILE高危文件读写函数。
七、应用层与管理流程安全
中间件代理访问：数据库不直接对外，通过业务应用、数据库代理访问；开发人员不能直连生产库，通过跳板机。
三权分立：DBA、审计管理员、安全管理员账号分离，一个人不能同时拥有修改数据 + 删除审计日志权限。
数据分级分类：把数据分为公开、内部、敏感、核心，不同级别执行不同安全策略。
第三方导出管控：批量导出敏感数据需要审批，限制导出条数。
八、威胁检测
数据库行为基线，识别异常行为：比如某账号平时少量查询，突然全表导出，触发告警。
数据库活动监控 (DAM)，识别拖库、暴力破解、权限滥用。
简单总结
数据库安全不是只靠数据库软件本身，是一套组合：
身份权限管住谁能访问 → 加密保护数据明文不泄露 → 拦截 SQL 注入等攻击 → 审计留痕可追溯 → 备份保证不丢数据 → 运维流程管控人的风险。
本文原创作者：易君召，详见：https://www.yijunzhao.cn/authors/yijunzhao，转载请注明出处。
原文链接
欢迎访问 小易撩挨踢