MySQL 修复Docker中的可读写错误

在使用Docker时，我们经常需要搭建MySQL服务器来存储和管理数据。然而，有些用户在使用Docker搭建MySQL服务器时会遇到“world-writable”（全局可读写）的问题，这是一个安全风险。在本文中，我们将探讨这个问题的根本原因以及如何解决它。

阅读更多：MySQL 教程

什么是“world-writable”？

当我们在Docker中运行MySQL容器时，默认情况下，MySQL容器将其数据文件夹挂载到我们的本地文件系统中。这允许我们在容器之外操作MySQL数据文件。然而，默认情况下，这个文件夹的权限被设置为“world-writable”，这意味着任何人都可以读取、写入或删除其中的文件。

例如，在Ubuntu系统中，MySQL容器的默认数据目录为/var/lib/mysql，执行以下命令可以查看该目录的权限：

ls -ld /var/lib/mysql

输出结果类似于：

drwxrwxrwx 4 mysql mysql 4096 Feb 12 10:50 /var/lib/mysql

其中最前面的“d”表示这是一个目录，“rwx”表示Owner用户（在这种情况下是MySQL容器）具有读、写和执行权限，“rwx”表示Group用户（在这种情况下也是MySQL容器）具有读、写和执行权限，“rwx”表示Other用户（任何人都属于这个组）具有读、写和执行权限。这是“world-writable”的标志。

这个权限设置的问题在于，如果我们的主机系统被黑客攻击，黑客可以轻易地访问MySQL数据文件并对其进行修改。

如何解决“world-writable”问题？

有两个步骤来解决这个问题：更改MySQL容器挂载的数据文件的权限以及更改MySQL容器使用的用户ID和组ID。

更改数据文件夹的权限

为了更改容器挂载的数据目录的权限，我们可以通过执行命令修改该目录的权限：

sudo chmod 750 /path/to/mysql/data

其中/path/to/mysql/data是MySQL服务器数据目录的实际路径。这个命令将数据目录的权限更改为以下：

Owner用户（MySQL容器）具有读、写和执行权限
Group用户（MySQL容器）只能读和执行
Other用户（其他人）没有权限

一旦我们更改了数据目录的权限，我们随时可以将这个目录作为容器的数据卷挂载回来。例如，我们可以使用以下参数在创建MySQL容器时挂载该目录：

-v /path/to/mysql/data:/var/lib/mysql

这将把本地的数据目录/path/to/mysql/data挂载到MySQL容器中的/var/lib/mysql目录中。

更改用户ID和组ID

Docker默认为MySQL容器运行的用户和组分别为“999”和“999”。我们应该更改这些ID为本地已有的MySQL用户和组的ID，这将确保MySQL容器与外部系统共享相同的用户和组ID，从而使安全性最大化。

首先，我们需要在主机系统上找到已有的MySQL组的ID。我们可以通过执行命令查找：

grep mysql /etc/group

输出结果类似于：

mysql:x:116:

其中“116”是MySQL组的ID。接下来，我们通过执行以下命令更改MySQL容器的组ID：

--user (id -u):(id -g) \
-e MYSQL_USER_ID=$(id -u mysql) \
-e MYSQL_GROUP_ID=116 \

其中，参数--user表示我们要以当前登录用户的用户ID和组ID运行容器，参数MYSQL_USER_ID表示我们要将MySQL容器的用户ID设为MySQL组在主机系统上的ID，参数MYSQL_GROUP_ID表示我们要将MySQL容器的组ID设为MySQL组在主机系统上的ID。

最终的完整命令如下：

docker run -d \
--name mysql \
-v /path/to/mysql/data:/var/lib/mysql \
-e MYSQL_ROOT_PASSWORD=your_password \
--user (id -u):(id -g) \
-e MYSQL_USER_ID=$(id -u mysql) \
-e MYSQL_GROUP_ID=116 \
mysql:latest

这个命令将创建一个MySQL容器，将本地的/path/to/mysql/data目录挂载到MySQL容器中的/var/lib/mysql目录中，设置MySQL根用户的密码为“your_password”，并将MySQL容器的用户ID和组ID设置为本地的MySQL组ID。

总结

在使用Docker搭建MySQL服务器时，我们应该注意到默认情况下MySQL容器数据目录的权限为“world-writable”，这是一个安全风险。为了解决这个问题，我们需要更改数据目录的权限以及将MySQL容器的用户ID和组ID设置为本地MySQL组的ID。这将确保MySQL容器与外部系统共享相同的用户和组ID，从而使安全性最大化。