0、TLS 1.1、 TLS 1.2。 使用加密连接后，连接将具有以下安全性质： 保密性：流量明文无法被窃听； 完整性：流量明文无法被篡改； 身份验证（可选）：客户端和服务端能验证双方身份，避免中间人攻击。 TiDB 的加密连接支持默认是关闭的，必须在 TiDB 服务端通过配置开启加密连接的支持后，才能在客户端中使用加 密连接。另外，与 MySQL 一致，TiDB 加密连接是以单个连接为单位的，并且是可选的，因而对于开启了加密连接 详细信息请参阅 MySQL 文档中关于客户端配置安全连接的部分。 若在 TiDB 服务端或 MySQL 客户端中未指定 ssl-ca 参数，则默认不会进行客户端或服务端身份验证，无法抵 御中间人攻击，例如客户端可能会“安全地”连接到了一个伪装的服务端。可以在服务端和客户端中配置 ssl-ca 参 数进行身份验证。一般情况下只需验证服务端身份，但也可以验证客户端身份进一步增强安全性。 若要使

预处理语句是一种将多个仅有参数不同的 SQL 语句进行模板化的语句，它让 SQL 语句与参数进行了分离。可 以用它提升 SQL 语句的： • 安全性：因为参数和语句已经分离，所以避免了 SQL 注入攻击的风险。 • 性能：因为语句在 TiDB 端被预先解析，后续执行只需要传递参数，节省了完整 SQL 解析、拼接 SQL 语句 字符串以及网络传输的代价。 在大部分的应用程序中，SQL 语句是可以被枚举的，可以使用有限个 文件中的默认值。 4.13.3.6 典型场景 本节以查询规则为例，介绍集成 TiDB 与 ProxySQL 能带来的一些优势。 4.13.3.6.1 查询规则 数据库可能会因为高流量、错误代码或恶意攻击而过载。因此，审核 SQL 是必要的。使用 ProxySQL 的查询规 则，你可以有效地应对这些问题，例如通过重路由、改写 SQL 或者拒绝查询等方式。 438 图 26: proxysql-client-side-rules 可以在多个系统生成，而不会产生冲突。某些情况下可以减少到 TiDB 的网络往返次数，从而提高 性能。 • 绝大多数编程语言和数据库系统都支持 UUID。 • 用在 URL 中时，UUID 不容易被枚举攻击。相比之下，使用 auto_increment 数字，则很容易让发票 ID 或 用户 ID 被猜出。 12.5.10.2 最佳实践 12.5.10.2.1 二进制存储 UUID 文本是一个包含

–root（string，默认 {mirror-dir}/root.json） 指定根证书。 每个镜像的根证书不相同，而根证书是镜像安全性最关键的一环，在使用网络镜像时，可能遭受中间人攻击， 为了避免此类攻击，推荐手动将根网络镜像的根证书下载到本地： wget /root.json -O /path/to/local/root.json 然后进行人工查验，认定无误 tiup mirror set -r /path/to/local/root.json 在这种操作方式下，如果中间人在 wget 之前攻击了镜像，用户可发现根证书不正确。如果在 wget 之后攻击 了镜像，TiUP 会发现镜像和根证书不符。 输出 无 << 返回上一页 - TiUP Mirror 命令清单 tiup mirror sign 命令 tiup 作用域：SESSION | GLOBAL • 默认值：OFF • 可选值：OFF，ON，WARN • 该变量用于控制是否在同一个 COM_QUERY 调用中执行多个查询。 • 为了减少 SQL 注入攻击的影响，TiDB 目前默认不允许在同一 COM_QUERY 调用中执行多个查询。该变量可 用作早期 TiDB 版本的升级路径选项。该变量值与是否允许多语句行为的对照表如下： 客户端设置 tidb_

预处理语句是一种将多个仅有参数不同的 SQL 语句进行模板化的语句，它让 SQL 语句与参数进行了分离。可 以用它提升 SQL 语句的： • 安全性：因为参数和语句已经分离，所以避免了 SQL 注入攻击的风险。 • 性能：因为语句在 TiDB 端被预先解析，后续执行只需要传递参数，节省了完整 SQL 解析、拼接 SQL 语句 字符串以及网络传输的代价。 在大部分的应用程序中，SQL 语句是可以被枚举的，可以使用有限个 4.13.3.6 典型场景 本节以查询规则为例，介绍集成 TiDB 与 ProxySQL 能带来的一些优势。 459 4.13.3.6.1 查询规则 数据库可能会因为高流量、错误代码或恶意攻击而过载。因此，审核 SQL 是必要的。使用 ProxySQL 的查询规 则，你可以有效地应对这些问题，例如通过重路由、改写 SQL 或者拒绝查询等方式。 图 34: proxysql-client-side-rules 重新切换到区域 1。 8.4.4 基于备份与恢复的容灾方案 TiDB 集群自身的多副本特性可以让其容忍单个机房或地理区域的故障，并继续向外提供服务。在更大范围的 自然灾害、软件漏洞、硬件故障、病毒攻击或常见的人为误操作的情况下，TiDB 的备份与恢复功能可以将数 据备份到独立的灾备存储设备中，以保护用户数据不受损坏。与其他方案相比，备份与恢复功能具有灵活性、 可靠性、可恢复性和成本效益等优势：

预处理语句是一种将多个仅有参数不同的 SQL 语句进行模板化的语句，它让 SQL 语句与参数进行了分离。可 以用它提升 SQL 语句的： • 安全性：因为参数和语句已经分离，所以避免了 SQL 注入攻击的风险。 290 • 性能：因为语句在 TiDB 端被预先解析，后续执行只需要传递参数，节省了完整 SQL 解析、拼接 SQL 语句 字符串以及网络传输的代价。 在大部分的应用程序中，SQL 语句是可以被枚举的，可以使用有限个 4.13.3.6 典型场景 本节以查询规则为例，介绍集成 TiDB 与 ProxySQL 能带来的一些优势。 453 4.13.3.6.1 查询规则 数据库可能会因为高流量、错误代码或恶意攻击而过载。因此，审核 SQL 是必要的。使用 ProxySQL 的查询规 则，你可以有效地应对这些问题，例如通过重路由、改写 SQL 或者拒绝查询等方式。 图 31: proxysql-client-side-rules 重新切换到区域 1。 8.4.4 基于备份与恢复的容灾方案 TiDB 集群自身的多副本特性可以让其容忍单个机房或地理区域的故障，并继续向外提供服务。在更大范围的 自然灾害、软件漏洞、硬件故障、病毒攻击或常见的人为误操作的情况下，TiDB 的备份与恢复功能可以将数 据备份到独立的灾备存储设备中，以保护用户数据不受损坏。与其他方案相比，备份与恢复功能具有灵活性、 可靠性、可恢复性和成本效益等优势：

预处理语句是一种将多个仅有参数不同的 SQL 语句进行模板化的语句，它让 SQL 语句与参数进行了分离。可 以用它提升 SQL 语句的： • 安全性：因为参数和语句已经分离，所以避免了 SQL 注入攻击的风险。 • 性能：因为语句在 TiDB 端被预先解析，后续执行只需要传递参数，节省了完整 SQL 解析、拼接 SQL 语句 字符串以及网络传输的代价。 在大部分的应用程序中，SQL 语句是可以被枚举的，可以使用有限个 4.14.3.6 典型场景 本节以查询规则为例，介绍集成 TiDB 与 ProxySQL 能带来的一些优势。 515 4.14.3.6.1 查询规则 数据库可能会因为高流量、错误代码或恶意攻击而过载。因此，审核 SQL 是必要的。使用 ProxySQL 的查询规 则，你可以有效地应对这些问题，例如通过重路由、改写 SQL 或者拒绝查询等方式。 图 35: proxysql-client-side-rules 数字和特殊字符的组合。启用密码复杂性检查可以提高数据库的安全性、防止暴力破解攻击、减少内部威胁、 遵守法规和合规性要求、降低数据泄露风险，并提高整体安全水平。 8.1.1.3 修改 Grafana 默认密码 TiDB 安装时默认包含 Grafana 组件，其默认的用户名密码通常为 admin/admin。如不及时修改，可能被攻击者 利用获取系统控制权。 建议在部署 TiDB 时立即将 Grafana

预处理语句是一种将多个仅有参数不同的 SQL 语句进行模板化的语句，它让 SQL 语句与参数进行了分离。可 以用它提升 SQL 语句的： • 安全性：因为参数和语句已经分离，所以避免了 SQL 注入攻击的风险。 • 性能：因为语句在 TiDB 端被预先解析，后续执行只需要传递参数，节省了完整 SQL 解析、拼接 SQL 语句 字符串以及网络传输的代价。 在大部分的应用程序中，SQL 语句是可以被枚举的，可以使用有限个 4.13.3.6 典型场景 本节以查询规则为例，介绍集成 TiDB 与 ProxySQL 能带来的一些优势。 448 4.13.3.6.1 查询规则 数据库可能会因为高流量、错误代码或恶意攻击而过载。因此，审核 SQL 是必要的。使用 ProxySQL 的查询规 则，你可以有效地应对这些问题，例如通过重路由、改写 SQL 或者拒绝查询等方式。 图 34: proxysql-client-side-rules 数字和特殊字符的组合。启用密码复杂性检查可以提高数据库的安全性、防止暴力破解攻击、减少内部威胁、 遵守法规和合规性要求、降低数据泄露风险，并提高整体安全水平。 8.1.1.3 修改 Grafana 默认密码 TiDB 安装时默认包含 Grafana 组件，其默认的用户名密码通常为 admin/admin。如不及时修改，可能被攻击者 利用获取系统控制权。 建议在部署 TiDB 时立即将 Grafana

预处理语句是一种将多个仅有参数不同的 SQL 语句进行模板化的语句，它让 SQL 语句与参数进行了分离。可 以用它提升 SQL 语句的： • 安全性：因为参数和语句已经分离，所以避免了 SQL 注入攻击的风险。 • 性能：因为语句在 TiDB 端被预先解析，后续执行只需要传递参数，节省了完整 SQL 解析、拼接 SQL 语句 字符串以及网络传输的代价。 在大部分的应用程序中，SQL 语句是可以被枚举的，可以使用有限个 4.14.3.6 典型场景 本节以查询规则为例，介绍集成 TiDB 与 ProxySQL 能带来的一些优势。 519 4.14.3.6.1 查询规则 数据库可能会因为高流量、错误代码或恶意攻击而过载。因此，审核 SQL 是必要的。使用 ProxySQL 的查询规 则，你可以有效地应对这些问题，例如通过重路由、改写 SQL 或者拒绝查询等方式。 图 35: proxysql-client-side-rules 数字和特殊字符的组合。启用密码复杂性检查可以提高数据库的安全性、防止暴力破解攻击、减少内部威胁、 遵守法规和合规性要求、降低数据泄露风险，并提高整体安全水平。 8.1.1.3 修改 Grafana 默认密码 TiDB 安装时默认包含 Grafana 组件，其默认的用户名密码通常为 admin/admin。如不及时修改，可能被攻击者 利用获取系统控制权。 建议在部署 TiDB 时立即将 Grafana

作用域：SESSION | GLOBAL • 默认值：OFF • 可选值：OFF，ON，WARN • 该变量用于控制是否在同一个 COM_QUERY 调用中执行多个查询。 • 为了减少 SQL 注入攻击的影响，TiDB 目前默认不允许在同一 COM_QUERY 调用中执行多个查询。该变量可 用作早期 TiDB 版本的升级路径选项。该变量值与是否允许多语句行为的对照表如下： 客户端设置 tidb_ 使用加密连接后，连接将具有以下安全性质： • 保密性：流量明文被加密，无法被窃听； 1218 • 完整性：流量明文无法被篡改； • 身份验证（可选）：客户端和服务端能验证双方身份，避免中间人攻击。 要为 TiDB 客户端与服务端间的通信开启 TLS 加密传输，首先需要在 TiDB 服务端通过配置开启 TLS 加密连接的 支持，然后通过配置客户端应用程序使用 TLS 加密连接。一般情况下，如果服务端正确配置了 文档中关于客户端配置安全连接的部分。 12.9.1.3 配置启用身份验证 若在 TiDB 服务端或 MySQL Client 中未指定 ssl-ca 参数，则默认不会进行客户端或服务端身份验证，无法抵 御中间人攻击，例如客户端可能会 “安全地” 连接到了一个伪装的服务端。可以在服务端和客户端中配置 ssl-ca 参数进行身份验证。一般情况下只需验证服务端身份，但也可以验证客户端身份进一步增强安全性。 • 若要使

作用域：SESSION | GLOBAL • 默认值：OFF • 可选值：OFF，ON，WARN • 该变量用于控制是否在同一个 COM_QUERY 调用中执行多个查询。 • 为了减少 SQL 注入攻击的影响，TiDB 目前默认不允许在同一 COM_QUERY 调用中执行多个查询。该变量可 用作早期 TiDB 版本的升级路径选项。该变量值与是否允许多语句行为的对照表如下： 1011 客户端设置 3。 使用加密连接后，连接将具有以下安全性质： • 保密性：流量明文无法被窃听； 1175 • 完整性：流量明文无法被篡改； • 身份验证（可选）：客户端和服务端能验证双方身份，避免中间人攻击。 TiDB 的加密连接支持默认是关闭的，必须在 TiDB 服务端通过配置开启加密连接的支持后，才能在客户端中使 用加密连接，要使用加密连接必须同时满足以下两个条件： 1. TiDB 服务端配置开启加密连接的支持 文档中关于客户端配置安全连接的部分。 12.9.1.3 配置启用身份验证 若在 TiDB 服务端或 MySQL 客户端中未指定 ssl-ca 参数，则默认不会进行客户端或服务端身份验证，无法抵 御中间人攻击，例如客户端可能会 “安全地” 连接到了一个伪装的服务端。可以在服务端和客户端中配置 ssl-ca 参数进行身份验证。一般情况下只需验证服务端身份，但也可以验证客户端身份进一步增强安全性。 • 若要使