| 做法 | 入方向规则来源类型选『安全组』，指向应用层安全组 ID |
|---|---|
| 效果 | 只有挂着该安全组的实例能访问；实例换 IP/扩容自动适配 |
| 对比 IP | IP 白名单维护成本高、易漏易错 |
| 纵深 | 数据库账号权限 + 安全组 + 内网子网三层配合 |
以安全组为源的规则（文本描述）
以安全组为源的规则（文本描述）
方向：入 协议：TCP 端口：3306
来源：安全组 sg-app-xxxx（应用层）
策略：允许
注：不写任何 IP 段，随应用扩容自动生效数据库子网还应避免挂公网路由；公网直连数据库是最高危配置之一。