要启用或禁用防火墙，请设置 mysql_firewall_mode系统变量。默认情况下，安装防火墙时会启用此变量。要显式控制初始防火墙状态，您可以在服务器启动时设置变量。例如，要在选项文件中启用防火墙，请使用以下行：

[mysqld]
mysql_firewall_mode=ON

修改my.cnf后重启服务器使新设置生效。

或者，在运行时设置并保留防火墙设置：

SET PERSIST mysql_firewall_mode = OFF;
SET PERSIST mysql_firewall_mode = ON;

SET PERSIST为正在运行的 MySQL 实例设置一个值。它还会保存该值，使其在随后的服务器重新启动时继续使用。要更改正在运行的 MySQL 实例的值而不使其延续到后续重新启动，请使用GLOBAL关键字而不是PERSIST. 请参阅 第 13.7.6.1 节，“变量赋值的 SET 语法”。

安装防火墙后，将适当的权限授予 MySQL 帐户或用于管理它的帐户。权限取决于应允许帐户执行哪些防火墙操作：

MySQL 服务器允许客户端连接并从它们接收要执行的 SQL 语句。如果启用了防火墙，服务器会将每个不会立即因语法错误而失败的传入语句传递给它。根据防火墙是否接受该语句，服务器执行它或向客户端返回错误。本节描述防火墙如何完成接受或拒绝声明的任务。

防火墙配置文件

防火墙使用配置文件注册表来确定是否允许语句执行。配置文件具有以下属性：

最初，不存在配置文件，因此默认情况下，防火墙接受所有语句，并且对 MySQL 帐户可以执行的语句没有影响。要应用防火墙保护功能，需要明确的操作：

大多数防火墙原则同样适用于组配置文件和帐户配置文件。两种类型的配置文件在以下方面有所不同：

防火墙提供的基于配置文件的保护可以实现以下策略：

防火墙语句匹配

防火墙执行的语句匹配不使用从客户端收到的 SQL 语句。相反，服务器将传入的语句转换为规范化的摘要形式，防火墙操作使用这些摘要。语句规范化的好处是它可以使用单一模式对相似的语句进行分组和识别。例如，这些语句彼此不同：

SELECT first_name, last_name FROM customer WHERE customer_id = 1;
select first_name, last_name from customer where customer_id = 99;
SELECT first_name, last_name FROM customer WHERE customer_id = 143;

但它们都具有相同的规范化摘要形式：

SELECT `first_name` , `last_name` FROM `customer` WHERE `customer_id` = ?

通过使用规范化，防火墙白名单可以存储摘要，每个摘要与从客户端收到的许多不同语句相匹配。有关规范化和摘要的更多信息，请参阅第 27.10 节，“性能模式语句摘要和采样”。

配置文件操作模式

向防火墙注册的每个配置文件都有自己的操作模式，可从以下值中选择：

当为配置文件分配任何上述模式值时，防火墙会将模式存储在配置文件中。防火墙模式设置操作也允许模式值为 RESET，但不会存储此值：将配置文件设置为RESET模式会导致防火墙删除配置文件的所有规则并将其模式设置为OFF。

应用多个配置文件时的防火墙语句处理

为简单起见，后面描述如何设置配置文件的部分采用防火墙将来自客户端的传入语句仅与单个配置文件（组配置文件或帐户配置文件）匹配的观点。但防火墙操作可能更复杂：

以下描述涵盖了当可能有多个配置文件应用于传入语句时防火墙如何运行的一般情况。

如前所述，MySQL 将每个客户端会话与特定的用户名和主机名组合相关联，称为会话帐户。防火墙将会话帐户与注册的配置文件进行匹配，以确定哪些配置文件适用于处理来自会话的传入语句：

换句话说，会话帐户可以匹配 0 个或多个活动组配置文件，以及 0 或 1 个活动帐户配置文件。这意味着 0、1 或多个防火墙配置文件适用于给定会话，防火墙按如下方式处理每个传入语句：

考虑到该描述，接下来的部分将回到应用单个组配置文件或单个帐户配置文件时的简单情况，并介绍如何设置每种类型的配置文件。

从 MySQL 8.0.23 开始，MySQL Enterprise Firewall 支持组配置文件的注册。组配置文件可以有多个帐户作为其成员。要使用防火墙组配置文件保护 MySQL 免受来自给定帐户的传入语句，请执行以下步骤：

请遵守这些与防火墙相关的帐户参考指南：

以下过程显示如何向防火墙注册组配置文件，训练防火墙了解该配置文件（其白名单）可接受的语句，使用配置文件保护 MySQL 免受不可接受的语句的执行，以及添加和删除组成员。该示例使用组配置文件名称fwgrp。该示例配置文件假定供访问数据库中表的应用程序的客户端使用sakila（可从 https://mysql.net.cn/doc/index-other.html获得）。

使用管理 MySQL 帐户执行此过程中的步骤，但指定由防火墙组配置文件的成员帐户执行的步骤除外。对于成员账户执行的语句，默认数据库应该是 sakila. （您可以通过相应地调整指令来使用不同的数据库。）

防火墙组配置文件现在已针对成员帐户进行了培训。当客户端使用组中的任何帐户连接并尝试执行语句时，配置文件会保护 MySQL 免受与配置文件白名单不匹配的语句的影响。

刚刚显示的过程在训练许可名单之前仅将一名成员添加到组配置文件中。这样做可以通过限制哪些帐户可以将新的可接受语句添加到允许列表来更好地控制培训期。如果需要额外培训，您可以将配置文件切换回RECORDING模式：

CALL mysql.sp_set_firewall_group_mode('fwgrp', 'RECORDING');

但是，这使该组的任何成员都可以执行语句并将它们添加到白名单中。要将额外训练限制为单个组成员，请调用 sp_set_firewall_group_mode_and_user()，这类似于sp_set_firewall_group_mode() 但需要一个参数来指定允许哪个帐户在RECORDING mode 中训练配置文件。例如，要仅通过 启用培训 member4@localhost，请执行以下操作：

CALL mysql.sp_set_firewall_group_mode_and_user('fwgrp', 'RECORDING', 'member4@localhost');

这使得指定帐户可以进行额外的培训，而无需删除其他组成员。他们可以执行语句，但语句不会添加到白名单中。（但是请记住，在 RECORDING模式下，其他成员可以执行任何语句。）

额外训练后，将组配置文件设置回 PROTECTING模式：

CALL mysql.sp_set_firewall_group_mode('fwgrp', 'PROTECTING');

建立的培训帐户 sp_set_firewall_group_mode_and_user()保存在组配置文件中，因此防火墙会记住它，以备日后需要更多培训时使用。因此，如果您调用 sp_set_firewall_group_mode()（不带培训帐户参数），则当前配置文件培训帐户member4@localhost保持不变。

如果确实需要让所有组成员以 RECORDING模式执行训练，要清除训练帐户，请调用 sp_set_firewall_group_mode_and_user()并传递NULL帐户参数的值：

CALL mysql.sp_set_firewall_group_mode_and_user('fwgrp', 'RECORDING', NULL);

可以通过将不匹配的语句记录为可疑而不拒绝访问来检测入侵。首先，将组配置文件置于DETECTING模式中：

CALL mysql.sp_set_firewall_group_mode('fwgrp', 'DETECTING');

然后，使用成员帐户执行与组配置文件白名单不匹配的语句。在 DETECTING模式下，防火墙允许不匹配的语句执行：

mysql> SHOW TABLES LIKE 'customer%';
+------------------------------+
| Tables_in_sakila (customer%) |
+------------------------------+
| customer                     |
| customer_list                |
+------------------------------+

此外，防火墙将一条消息写入错误日志：

[Note] Plugin MYSQL_FIREWALL reported:
'SUSPICIOUS STATEMENT from 'member1@localhost'. Reason: No match in allowlist.
Statement: SHOW TABLES LIKE ?'

要禁用组配置文件，请将其模式更改为 OFF：

CALL mysql.sp_set_firewall_group_mode(group, 'OFF');

要忘记配置文件的所有训练并禁用它，请重置它：

CALL mysql.sp_set_firewall_group_mode(group, 'RESET');

重置操作会导致防火墙删除配置文件的所有规则并将其模式设置为OFF。

MySQL Enterprise Firewall 允许注册与个人帐户相对应的配置文件。要使用防火墙帐户配置文件保护 MySQL 免受来自给定帐户的传入语句，请执行以下步骤：

请遵守这些与防火墙相关的帐户参考指南：

以下过程显示如何向防火墙注册帐户配置文件，训练防火墙了解该配置文件（其白名单）可接受的语句，并使用配置文件保护 MySQL 免受帐户执行不可接受的语句。假设示例帐户 fwuser@localhost供访问数据库中表的应用程序使用 sakila（可从 https://mysql.net.cn/doc/index-other.html获得）。

使用管理 MySQL 帐户执行此过程中的步骤，但指定由fwuser@localhost与在防火墙中注册的帐户配置文件相对应的帐户执行的步骤除外。对于使用此帐户执行的语句，默认数据库应为sakila. （您可以通过相应地调整指令来使用不同的数据库。）

防火墙帐户配置文件现在已针对该 fwuser@localhost帐户进行了培训。当客户端使用该帐户连接并尝试执行语句时，配置文件保护 MySQL 免受配置文件白名单不匹配的语句的影响。

可以通过将不匹配的语句记录为可疑而不拒绝访问来检测入侵。首先，将帐户配置文件置于DETECTING模式中：

CALL mysql.sp_set_firewall_mode('fwuser@localhost', 'DETECTING');

然后，使用该帐户执行与帐户配置文件白名单不匹配的语句。在 DETECTING模式下，防火墙允许不匹配的语句执行：

mysql> SHOW TABLES LIKE 'customer%';
+------------------------------+
| Tables_in_sakila (customer%) |
+------------------------------+
| customer                     |
| customer_list                |
+------------------------------+

此外，防火墙将一条消息写入错误日志：

[Note] Plugin MYSQL_FIREWALL reported:
'SUSPICIOUS STATEMENT from 'fwuser@localhost'. Reason: No match in allowlist.
Statement: SHOW TABLES LIKE ?'

要禁用帐户配置文件，请将其模式更改为 OFF：

CALL mysql.sp_set_firewall_mode(user, 'OFF');

要忘记配置文件的所有训练并禁用它，请重置它：

CALL mysql.sp_set_firewall_mode(user, 'RESET');

重置操作会导致防火墙删除配置文件的所有规则并将其模式设置为OFF。

要评估防火墙活动，请检查其状态变量。例如，在执行前面显示的过程来训练和保护fwgrp组配置文件之后，变量如下所示：

mysql> SHOW GLOBAL STATUS LIKE 'Firewall%';
+----------------------------+-------+
| Variable_name              | Value |
+----------------------------+-------+
| Firewall_access_denied     | 3     |
| Firewall_access_granted    | 4     |
| Firewall_access_suspicious | 1     |
| Firewall_cached_entries    | 4     |
+----------------------------+-------+

这些变量分别表示拒绝、接受、记录为可疑和添加到缓存中的语句数。Firewall_access_granted 计数为 4 是因为mysql客户端每次使用注册帐户连接 3 次时@@version_comment 发送的 语句，加上未在模式中阻塞的语句。 SHOW TABLESDETECTING

在 MySQL 8.0.23 之前，MySQL Enterprise Firewall 仅支持每个应用到单个帐户的帐户配置文件。从 MySQL 8.0.23 开始，防火墙还支持组配置文件，每个配置文件可以应用于多个帐户。当将同一个白名单应用于多个账户时，群组配置文件可以更轻松地管理：不是为每个账户创建一个账户配置文件并在所有这些配置文件中复制许可名单，而是创建一个群组配置文件并使账户成为其中的成员。然后，组许可名单将应用于所有帐户。

具有单个成员帐户的组配置文件在逻辑上等同于该帐户的帐户配置文件，因此可以专门使用组配置文件来管理防火墙，而不是混合使用帐户和组配置文件。对于新的防火墙安装，这是通过统一创建新配置文件作为组配置文件并避免帐户配置文件来实现的。

由于组配置文件提供了更大的灵活性，建议将所有新的防火墙配置文件创建为组配置文件。从 MySQL 8.0.26 开始，帐户配置文件已弃用，并可能在未来的 MySQL 版本中删除。对于已包含帐户配置文件的防火墙安装的升级，MySQL 8.0.26 及更高版本中的 MySQL Enterprise Firewall 包含一个名为 sp_migrate_firewall_user_to_group()帮助您将帐户配置文件转换为组配置文件的存储过程。要使用它，请以具有权限的用户身份执行以下过程 FIREWALL_ADMIN：

有关更多详细信息 sp_migrate_firewall_user_to_group()，请参阅 防火墙杂项存储过程。