MySQL防暴力破解密码配置指南

先给大家一个明确的结论：配置MySQL防暴力破解，不是随便设几个参数就能完事的。FAILED_LOGIN_ATTEMPTS和PASSWORD_LOCK_TIME这两个参数必须成对出现，而且依赖validate_password插件启用。另外，它们只对caching_sha2_password或mysql_native_password这两种认证插件的用户生效；单独设置其中一个，等于没设。单位是天，锁定期满后不会自动解锁，必须有一次成功登录才能重置计数。

FAILED_LOGIN_ATTEMPTS 和 PASSWORD_LOCK_TIME 必须成对设置

单独执行 ALTER USER 'u'@'%' FAILED_LOGIN_ATTEMPTS 3 时，MySQL会直接忽略，不会产生任何效果。这两个参数是硬性绑定的——缺一不可，顺序可以任意，但缺少任何一个都会导致完全失效。

• 新建用户时，必须一次性写全：CREATE USER 'api'@'%' IDENTIFIED WITH caching_sha2_password BY 'pwd' FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 0.04167（锁1小时）
• 已有用户修改时，需要连认证插件一起更换：ALTER USER 'api'@'%' IDENTIFIED WITH caching_sha2_password BY 'newpwd' FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 0.04167
• PASSWORD_LOCK_TIME 的单位是「天」，因此锁5分钟需要写 0.00347（5 ÷ 1440）。如果写 0，表示永久锁定，而不是“不锁定”
• 锁定期满后，不会自动解锁——必须有一次成功登录，失败计数才会重置，同时清除 account_locked = 'Y' 状态

validate_password 插件不是可选，而是必需

即使参数写全了，认证插件也匹配，但如果 validate_password 没有启用，失败登录根本不会累加计数。在 mysql.user 表中永远看不到 account_locked = 'Y'，错误日志中也搜索不到 Too many failed login attempts 这条信息。

• 检查是否激活：SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME = 'validate_password'，状态必须是 ACTIVE
• 启用方式有两种：在配置文件中添加 plugin_load_add = validate_password.so 后重启；或者直接运行 INSTALL PLUGIN validate_password SONAME 'validate_password.so'
• 启用后会自动激活密码强度策略（例如 validate_password.length），可能会影响已有的建用户脚本，建议提前验证

connection_control 插件需要安装两个组件才能生效

只安装 CONNECTION_CONTROL 是不够的——它负责延迟逻辑，但失败计数依赖配套组件 CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS。如果后者没有安装，SHOW VARIABLES LIKE '%connection_control%' 看不到任何相关变量，所有配置都无效。

• 必须按顺序执行：先 INSTALL PLUGIN CONNECTION_CONTROL SONAME 'connection_control.so'，再 INSTALL PLUGIN CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS SONAME 'connection_control.so'
• connection_control_failed_connections_threshold 参数如果不写入 my.cnf 就不会持久化——使用 SET GLOBAL 设置后，重启就会失效
• 注意单位：connection_control_min_connection_delay 的单位是毫秒，不是秒；max 值设置太高（例如 60000）可能卡死连接池，引发 Too many connections
• 'root'@'localhost' 和所有本地连接默认被绕过，这是设计行为，不是 bug

别信“%”通配符，IP 白名单才是第一道防线

只要 3306 端口对公网开放，并且用户 Host 是 '%'，暴力破解就始终存在真实风险。MySQL 自身的账户锁定只是最后一道防线，不能替代网络隔离。

• 禁用远程 root：DELETE FROM mysql.user WHERE user='root' AND host!='localhost'，然后执行 FLUSH PRIVILEGES
• 业务账号必须绑定具体 IP 或内网段：CREATE USER 'webapp'@'192.168.10.50' IDENTIFIED BY 'strong_pwd'
• 云环境务必在安全组层面只放行应用服务器内网 IP；物理机使用 iptables 或 ufw 严格限制源地址
• bind-address 绝不能设为 0.0.0.0，优先设为 127.0.0.1 或内网地址

真正起作用的从来不是单点配置，而是 caching_sha2_password + validate_password + FAILED_LOGIN_ATTEMPTS/PASSWORD_LOCK_TIME 三者同时在线，再加上 CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS 的延迟压制和防火墙层的 IP 白名单——少任何一个环节，攻击者都可能找到绕过路径。