如何借助 Crontab 定时任务实现备份库的权限标准化

Crontab本身不管理数据库权限，仅定时触发脚本；“备份库权限标准化”指在自动化备份中确保数据库账户最小权限、脚本与目录系统权限隔离可控，并由专用用户执行任务。

Crontab 本身不管理数据库权限，它只负责定时触发脚本。所谓“备份库的权限标准化”，实际是指：在自动化备份流程中，确保执行备份的数据库账户具备最小必要权限，且脚本、文件、目录的系统级权限合理可控。核心不是 crontab 设置权限，而是围绕它构建一套权限明确、隔离、可审计的备份执行环境。

数据库账户权限必须最小化

备份账户不应使用 root 或高权限账号。应单独创建专用用户，并仅授予必需权限：

• SELECT：读取所有需备份表的数据（必需）
• LOCK TABLES：配合 --lock-tables 使用（若用 --single-transaction 可省略，但建议保留以兼容 MyISAM 表）
• SHOW VIEW：导出视图定义（如有视图）
• TRIGGER：导出触发器（如需完整结构）
• ROUTINE：导出存储过程和函数（如需）

建用户示例：

CREATE USER 'backup_user'@'localhost' IDENTIFIED BY 'strong_password';<br>GRANT SELECT, LOCK TABLES, SHOW VIEW, TRIGGER, ROUTINE ON `mydb`.* TO 'backup_user'@'localhost';<br>FLUSH PRIVILEGES;

备份脚本与配置文件的系统权限要隔离

避免密码明文暴露在脚本中，也防止非授权用户读取备份凭证：

• 将数据库账号密码存入 ~/.my.cnf，属主仅限运行脚本的用户（如 chmod 600 ~/.my.cnf）
• 备份脚本自身设为 chmod 750（所有者可读写执行，同组可读执行，其他无权）
• 备份目录（如 /data/mysql_backup）应由备份用户专属拥有：chown backupuser:backupgroup /data/mysql_backup，权限设为 750
• 禁止将脚本放在 /tmp 或全局可写目录

crontab 执行上下文需明确归属

谁启动 crontab，谁承担权限责任。生产环境强烈建议：

• 使用专用系统用户（如 backupuser）而非 root 运行备份任务
• 用该用户执行 crontab -e，避免混用 sudo crontab -e（后者属于 root 的 crontab，权限过高）
• 在脚本开头显式设置工作路径和环境变量，例如：
  

  cd /home/backupuser/scripts<br>export PATH="/usr/bin:/bin"

• 所有命令使用绝对路径（如 /usr/bin/mysqldump），避免因 cron 环境 PATH 缺失导致失败

日志与备份文件权限需统一管控

输出内容同样体现权限设计是否严谨：

• 日志文件（如 /var/log/mysql-backup.log）应由备份用户创建并独占写入，权限 640
• 生成的 .sql.gz 文件默认继承父目录权限，但建议脚本中显式设置：chmod 640 "$BACKUP_FILE"
• 定期检查备份文件属主和权限：find /data/mysql_backup -name "*.sql.gz" -not -user backupuser -exec chown backupuser {} ;