Web安全与防护 （微课版）08-4 项目八 安全的应用发布-任务四教案

XX学院课程教案开课学院XX学院课程名称WEB安全与防护授课学期XX学年第X学期授课教师XXX授课班级XXX总课时64

项目八任务四《MySQL安全配置》教学设计方案一、教学分析课题名称MySQL安全配置授课方式线下讲课授课学时2授课地点授课时间202X年XX月XX日教学内容1、任务描述：配置MySQL的安全配置项以满足安全需求。2、知识准备：Linux操作系统的使用及MySQL数据库的使用。3、任务实施：配置MySQL的安全配置项。学情分析学习者前期学习了Linux操作系统的使用和MySQL数据库的使用，具备了配置MySQL参数的知识储备，但缺乏融会贯通和综合运用能力，未接触过职业工作和专业技能竞赛。教学目标知识目标1、熟悉MySQL各项安全参数的配置方法。2、熟悉MySQL数据库用户降权的配置方法。3、熟悉MySQL数据库访问控制的配置方法。能力目标1、能够配置MySQL各项安全参数。2、能够配置MySQL数据库用户降权。3、能够配置MySQL数据库访问控制。素质目标1、培养分析、归纳、总结的能力。2、培养良好的职业素质。教学重点配置MySQL各项安全参数、配置MySQL数据库用户降权、配置MySQL数据库访问控制教学难点配置MySQL数据库用户降权二、教学策略教学资源在线开放课程平台，超星课程平台，多媒体课件，理实一体化实训室，网络教学资源。实物：教材，软件工具包。教学方法与手段1、教学方法：案例法、讲授法、自学法2、教学模式：采用线上线下混合教学模式教学重点解决措施重点：配置MySQL各项安全参数、配置MySQL数据库用户降权、配置MySQL数据库访问控制措施：老师讲解加演示教学难点解决措施难点：配置MySQL数据库用户降权措施：老师讲解加演示三、教学实施第4次课（2课时）课前准备教学内容教师活动学生活动设计意图备注提交手机，组织学生座位靠前，强调学习纪律，点名前次课程内容回顾。教师组织教学学生看书，预习学生课前线上学习相关知识，引导学习方式转变，培养自主学习能力。课中探究教学内容教师活动学生活动设计意图任务四MySQL安全配置引导学生通过教材、网络及学习资料逐一预习相关的项目理论知识。本项目工作任务：1.配置MySQL参数2.数据库用户降权3.数据库访问控制教师讲授、演示。学生跟随老师讲课，加深印象，准备自己操作多媒体教学、启发式教学1.配置MySQL参数禁止MySQL以管理员帐号权限运行：以普通账户安全运行MySQL，禁止以管理员账号权限运行MySQL服务。在/etc/f配置文件中进行以下设置。[mysql.server]User=mysql最大连接数设置：根据您的机器性能和业务需求，设置最大、最小连接数。在MySQL配置文件（my.conf或my.ini）的[mysqld]配置段中添加max_connections=1000，保存配置文件，重启MySQL服务后即可生效。secure_file_priv：secure_file_priv限制客户端可以读取数据文件的路径，secure_file_priv设置合理的值可以有效降低SQL注入后黑客读取数据库数据的可能性。检查参数状态执行命令如下：SHOWGLOBALVARIABLESWHEREVariable_name='secure_file_priv'ANDValue<'';如果有返回内容说明安全，否则需要修复；disconnect_on_expired_password：disconnect_on_expired_password是用来控制客户端用失效密码来访问数据库的，关闭这个参数会给数据库带来安全风险。检查参数状态执行命令如下：SHOWGLOBALVARIABLESLIKE'disconnect_on_expired_password';如果有返回的是ON说明安全，否则需要修复错误日志记录：启用错误日志有可能会增加检测到针对mySQL的恶意攻击行为机会，执行命令如下：SHOWvariablesLIKE'log_error';如果返回是空否，则存在安全问题需要修复。log_warnings：log_warnings适用于决定日志中记录的内容的，默认是1随着级别的调整会记录更多信息，调整到2有助于通过日志追查安全问题。执行命令如下：SHOWGLOBALVARIABLESLIKE'log_warnings';密码生命周期：密码需要定期更换，才有意义，也才能更有效的防止黑客破解。执行命令如下：SHOWVARIABLESLIKE'default_password_lifetime';看返回值，单位为天数，根据业务实际情况设定。2.数据库用户降权生产环境中网站所使用的数据库用户建议只授予必要的权限，本书中开发的博客管理系统实际功能仅涉及到数据库的增删改查，那么对应的，我们仅需要给相应的用户仅：SELECT、UPDATE、INSERT、DELETE权限即可。执行如下命令：grantselect,update,insert,deleteonblog.*to‘web’@’localhost’;flushprivileges;在配置中，需要把握的原则是：仅授予网站业务功能所必须的权限即可。多余权限无法保证不带来安全风险。3.数据库访问控制在生产环境中我们需要检查MySQL数据库中的所有用户，是否允许从外部登录，如果存在允许外部连接登录的账户，我们应该予以修正，做好数据库的访问控制。我们可以执行以下命令来确认所有用户允许登录使用的IP地址：selectuser,hostfrommysql.user;结合实际业务逻辑，对返回结果进行详细评估，纠正存在风险的用户教师讲授、演示。学生学习、模仿，练习。操作演示、启发式教学课后拓展教