站长必避的MySQL三大设计陷阱

　　去年双十一，凌晨两点十七分，我盯着屏幕右下角的秒针跳到十八秒，听见机房空调外机又开始抽风——嗡…嗡…嗡…停两秒，再嗡。老邵在隔壁工位啃冷掉的韭菜盒子，油渍糊在工牌背面，他刚挂掉风控组第三通电话，说“爬虫没过WAF签名校验”，我心想你连MySQL慢日志都没开全，跟谁谈签名。

　　我原以为是索引没建好，结果发现主键用的是UUID字符串，36位，InnoDB页里全是碎片，B+树高得离谱。上周帮他们导数据，一条SELECT COUNT()卡了三百七十二秒，中间运维小陈进来调了三次机柜风扇转速，汗珠从他耳后滑下去，在工装领口洇开一小片深色。我切过去看执行计划，type=ALL，rows=1284万，key=NULL——这他妈不是查库，是给磁盘做按摩。

　　第二大坑是那个“用户中心表”里硬塞的JSON字段，存着设备指纹、登录轨迹、风控标签……还带嵌套数组。上季度末审计穿刺测试，白帽子就靠一条SELECT FROM user_center WHERE info->>'$.risk_score' > 0.97 拖走了四十三万行原始JSON串，其中十七个含明文手机号，两个带临时token。我截图发给DBA老张时，他正往保温杯里续枸杞茶，手抖洒了一滴在键盘F5键上，没擦。

　　但最要命的是权限那档子事。他们给所有应用配的数据库账号，都是同一套凭证，root密码写进Dockerfile被commit进公开仓库，三天后自动同步到生产配置中心——这事我没亲眼见，是新来实习生小周说的，她当时正蹲在机柜后面理光纤，头绳掉了两次，说话带喘。我说“删掉”，她说“已删”，我信了。直到凌晨四点，告警邮件标题写着【主库system_user表DROP语句被执行】，我抓起手机打老邵，他那边传来婴儿哭声和锅铲刮铁锅的刺啦声——他在热隔夜面条。

文章配图，仅供参考

　　其实真不是技术问题。是那种“大家都这么干”的惯性。我见过三套CMS系统，都把admin_password直接存成MD5，还加了固定salt（就是'abc123'），有个站长当面跟我说：“改了怕影响第三方插件兼容。”我笑了，他没笑，他正低头看钉钉消息弹窗，手指悬在撤回键上没点下去。

　　那天外面下雨，不是暴雨，是南方那种阴着脸往下渗水的雨，玻璃幕墙挂满细流，像无数条迟钝的蚯蚓在爬。我坐在窗边改SQL注入防护白名单规则，旁边放着半盒没拆封的降压药——不是我的，是前任安全负责人留下的，药盒贴纸写着“每日一次，饭后”，字迹被水汽晕得有点毛边。我撕下来贴在自己的笔记本扉页上，下面用红笔补了句：“饭后不等于上线后”。

　　第三个坑根本不算设计陷阱，是反模式喂出来的寄生逻辑：他们用MySQL当队列。没上Redis，没上RabbitMQ，就拿一张task_queue表，status字段 enum('pending','running','done')，靠SELECT ... FOR UPDATE轮询。高峰时段每秒六百多行update，死锁日志攒了二十七兆，而真正的业务更新语句全堵在锁等待队列里。我调出pt-deadlock-logger的时候，监控大屏突然闪了一下，黑三秒，没人抬头——大家早习惯了，机房灯管老化三年，换过五次镇流器，还是闪。

　　我敢打包票，只要你在WHERE条件里写了 LIKE '%关键词%' 又没加前置索引，这张表早晚变成攻击面。不信？你试试把用户表邮箱字段改成全文索引再加一个函数索引，然后让WAF规则匹配所有带'@'的POST body——对，就是这个动作，会让某家支付网关的风控签名验证延迟从23ms飙到8秒，具体哪一秒我不确定，但我知道那个瞬间老邵的泡面汤凉了。

　　后来我们强推了字段加密，AES-256-CBC，密钥托管在KMS。但运营同事改密码还是填123456，只不过这次加了base64壳——他觉得“看着密一点”。我盯着解密脚本跑出来的明文，忽然想起大学时导师说的一句话：“加密解决不了懒，只能拖慢懒。”他说这话时正用圆珠笔帽戳打印机卡纸，笔帽断了半截。

　　前两天翻旧工单，看到2026年2月那张——就是这次实测的原始时间戳，上面写着：“确认非SQLi导致，为设计态冗余触发默认行为。”底下审批栏有三个电子签，最后一个是我自己，签字时间2026-02-18 23:59:58。我愣了三秒，想起来那天晚上我点了份黄焖鸡米饭，店家备注“不要土豆”，但送来的碗底全是土豆块，我就着它们吃了两口，又吐掉一半在餐巾纸上，纸团滚到桌下，到现在还没捡。

　　现在我在重写他们的连接池配置，maxActive=10，minIdle=2，testOnBorrow=true，testWhileIdle=true——可他们连Druid监控页面都从来没登进去看过。你说怎么办？我能做的，就是把下个月的渗透测试靶标清单里，MySQL这一栏标成红色，加粗，旁边画了个歪斜的骷髅头，下面写：“此处埋了三颗雷，两颗会炸，一颗正在孵蛋。”

　　哦对，刚才老邵微信问：“那个JSON字段能不能加个字段级加密？”我回他：“能。但得先干掉那个把整行当成参数拼进PREPARE语句的PHP老版本DAO。”他回了个“OK”，又补一句：“盒饭到了，韭菜的。”

　　我没回。窗外又开始渗雨了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!