保护数据库连接

当应用程序连接到数据库时，敏感数据通常会通过网络传输。如果缺乏适当的安全措施，这些数据可能会被拦截或篡改。

• 机密性：防止未经授权的人员查看数据。
• 完整性：确保数据在传输过程中未被更改。
• 身份验证：验证客户端和服务器双方的身份。

本课重点介绍两种关键方法：SSL/TLS 加密和基于 IP 的访问限制。

SSL/TLS（安全套接字层/传输层安全）是用于在 Web 服务器与客户端之间建立加密连接的标准技术（在本例中则是在数据库服务器与客户端之间建立连接）。

• 它会加密交换的所有数据，防止数据被窃听。
• 它使用数字证书验证服务器的身份（也可以选择验证客户端的身份）。
• 在传输密码、财务信息和个人信息等数据时，它对于保护数据至关重要。

要使用 SSL/TLS，数据库服务器需要数字证书和私钥。这些凭据用于证明服务器的身份。

• 自签名证书：最容易创建，适合测试或内部网络，但默认情况下不受信任。
• CA 签名证书：由证书颁发机构（CA）签发并受到全球信任，非常适合生产环境。

在本课中，我们假设您已经准备好了服务器证书（server.crt）和私钥（server.key）。

要在 PostgreSQL 中启用 SSL，您需要编辑 postgresql.conf 文件。该文件用于告知服务器监听安全连接的位置，以及证书的存放位置。

关键参数：

• ssl = on：启用 SSL。
• ssl_cert_file：服务器证书的路径。
• ssl_key_file：服务器私钥的路径。

完成更改后，请重启 PostgreSQL。

对于 MySQL，您需要在 my.cnf 文件中配置 SSL/TLS（在 Windows 上通常是 my.ini），配置位置通常位于 [mysqld] 部分。

您需要指定服务器证书、私钥的路径；如果使用证书颁发机构（CA）证书验证客户端证书，还可以指定 CA 证书的路径。

修改配置后，请重启 MySQL 服务，使更改生效。

服务器配置完成后，需要告知客户端在连接时使用 SSL/TLS。这通常需要在连接字符串或命令中指定 SSL 选项。

下面以 PostgreSQL 的 psql 客户端为例，明确要求使用 SSL 模式：

• sslmode=require：强制使用 SSL 连接。
• sslrootcert：用于验证服务器的 CA 证书路径。

除了加密之外，根据客户端的 IP 地址限制访问也是一项基本的安全措施。这样可以确保只有受信任的计算机才能尝试连接您的数据库。

您可以通过以下方式进行配置：

• 在数据库服务器层面配置（例如 PostgreSQL 的 pg_hba.conf 或 MySQL 的 GRANT 语句）。
• 使用防火墙（例如 UFW 或 firewalld）阻止未经授权的 IP 访问数据库端口。

结合使用这两种方式可以提供分层防御。

PostgreSQL 使用 pg_hba.conf 文件进行基于主机的身份验证。每一行都会指定连接类型、数据库、用户和允许的 IP 地址。

常见字段：

• TYPE： host（TCP/IP）、local（Unix 套接字）。
• DATABASE： all、特定数据库名称。
• USER： all、特定用户。
• ADDRESS：IP 范围（例如 192.168.1.0/24）或单个 IP。
• METHOD： scram-sha-256、md5、peer 等。

编辑后请记得重启 PostgreSQL。

在 MySQL 中，创建用户或使用 GRANT 语句修改用户时，可以指定用户能够连接的主机，从而限制用户访问。

'user'@'host' 语法是关键：

• 'localhost'：只能从服务器本机连接。
• '192.168.1.100'：只能从指定的 IP 地址连接。
• '%'：可以从任意主机连接（务必谨慎使用！）。
• '192.168.1.%'：可以从 192.168.1.x 范围内的任意 IP 连接。

请始终使用限制性最强的主机设置。

保护数据库连接是一项持续进行的工作。以下是一些最佳实践：

• 最小权限：仅向用户和应用授予必要的权限。
• StrongPassword：强制使用复杂密码，并定期更换。
• 防火墙规则：使用服务器的防火墙（UFW/firewalld），将数据库端口（例如 PostgreSQL 使用 5432，MySQL 使用 3306）的访问限制为受信任的 IP。
• 定期审计：定期检查数据库日志和访问配置。
• 保持软件更新：及时为数据库服务器和操作系统应用安全补丁。

以下哪些方法可以有效增强数据库连接的安全性？

本课中，我们学习了保护数据库连接的重要技术：

• SSL/TLS：对传输中的数据进行加密，确保机密性和完整性。我们了解了如何在 PostgreSQL 和 MySQL 中启用它，以及客户端如何安全地连接。
• IP 限制：根据网络地址限制可以连接数据库的对象：PostgreSQL 使用 pg_hba.conf，MySQL 使用 GRANT 语句。
• 最佳实践：我们还介绍了一般性的安全建议，例如使用强密码和定期审计。

落实这些措施后，您可以显著降低未经授权的访问和数据泄露风险。