MySQL(84)如何配置MySQL防火墙？

MySQL防火墙（MySQL Enterprise Firewall）是一种MySQL企业版特性，用于保护数据库免受SQL注入和其他恶意活动的攻击。它通过学习和监控合法SQL语句，创建一个允许列表，从而阻止未在列表中的SQL语句。

1. 启用MySQL防火墙

首先，你需要确保你的MySQL服务器具有企业版许可证，因为MySQL防火墙是MySQL企业版的特性。

1.1 安装MySQL防火墙插件

你需要在MySQL服务器上安装和启用防火墙插件。可以通过以下SQL命令安装插件：

INSTALL PLUGIN mysql_firewall SONAME 'mysql_firewall.so';

确认插件已成功安装：

SHOW PLUGINS;

你应该能看到mysql_firewall在已安装的插件列表中。

2. 配置MySQL防火墙

2.1 创建用户并启用防火墙

假设你已经创建了一个用户newuser，你需要为这个用户启用防火墙：

-- 为用户启用防火墙
CALL mysql.sp_set_firewall_mode('newuser@localhost', 'RECORDING');

防火墙模式有以下几种：

OFF - 禁用防火墙。
RECORDING - 记录用户的SQL活动，用于建立合法SQL语句的允许列表。
PROTECTION - 仅允许执行在允许列表中的SQL语句。
DETECTING - 监控并记录异常的SQL活动，但不阻止它们。

2.2 录制合法的SQL语句

在RECORDING模式下，执行用户可能会使用的所有合法SQL语句。这些语句将被记录到防火墙的允许列表中。

-- 假设以下语句是用户可能会执行的合法语句
-- 以用户身份登录并执行这些语句
SELECT * FROM mydatabase.mytable;
INSERT INTO mydatabase.mytable (col1, col2) VALUES ('value1', 'value2');

2.3 切换到保护模式

一旦录制了所有合法的SQL语句，将防火墙模式切换到PROTECTION：

CALL mysql.sp_set_firewall_mode('newuser@localhost', 'PROTECTION');

此后，任何不在允许列表中的SQL语句将被阻止执行。

3. 管理防火墙规则

3.1 查看防火墙规则

可以查看某个用户的防火墙规则：

SELECT * FROM mysql.firewall_whitelist WHERE USERHOST = 'newuser@localhost';

3.2 清除防火墙规则

如果需要清除某个用户的防火墙规则，可以使用以下命令：

CALL mysql.sp_reload_firewall_rules('newuser@localhost');

3.3 手动添加防火墙规则

可以手动向用户的防火墙允许列表中添加SQL语句：

CALL mysql.sp_set_firewall_rule('newuser@localhost', 'rule_name', 'SELECT * FROM mydatabase.mytable');

4. 完整示例脚本

以下是一个完整的示例脚本，展示了如何启用和配置MySQL防火墙：

-- 安装MySQL防火墙插件
INSTALL PLUGIN mysql_firewall SONAME 'mysql_firewall.so';-- 查看插件是否安装成功
SHOW PLUGINS;-- 创建用户
CREATE USER 'newuser'@'localhost' IDENTIFIED BY 'password';-- 为用户启用防火墙记录模式
CALL mysql.sp_set_firewall_mode('newuser@localhost', 'RECORDING');-- 以用户身份登录并执行合法的SQL语句（在应用程序中执行，示例如下）
-- SELECT * FROM mydatabase.mytable;
-- INSERT INTO mydatabase.mytable (col1, col2) VALUES ('value1', 'value2');-- 切换到保护模式
CALL mysql.sp_set_firewall_mode('newuser@localhost', 'PROTECTION');-- 查看用户的防火墙规则
SELECT * FROM mysql.firewall_whitelist WHERE USERHOST = 'newuser@localhost';-- 手动添加防火墙规则
CALL mysql.sp_set_firewall_rule('newuser@localhost', 'rule_name', 'SELECT * FROM mydatabase.mytable');-- 清除用户的防火墙规则
CALL mysql.sp_reload_firewall_rules('newuser@localhost');