| 服务 | MySQL / MariaDB / Percona Server |
|---|---|
| 协议 | TCP（Unix socket 本机连接不走端口） |
| 用途 | 业务数据库连接、主从复制 |
| 安全等级 | 仅应用网段，禁止公网 |
与 SQL Server（1433）、PostgreSQL（5432）并列的三大默认库端口；多实例部署时按 3306/3307/3308 顺延是常见约定。
暴露公网的 MySQL 会被暴力破解与利用弱口令拖库，勒索事件中的重灾区；现代版本默认 bind-address 已有改善，但云主机误开安全组的情况仍很常见。
检查监听地址与连接
检查监听地址与连接
ss -lntp | grep 3306
mysql -h 127.0.0.1 -P 3306 -u app -p -e "SELECT VERSION();"加固要点（my.cnf）
加固要点（my.cnf）
bind-address = 127.0.0.1
max_connections = 500
# 仅对必要网段开放账户：GRANT ... TO 'app'@'10.0.1.%'安全组/防火墙只放应用服务器来源；数据库账户按库授权，root 远程登录必须关闭。