# 12-TiDB测评命令
> TiDB测评取证命令单：mysql 客户端连接 4000 端口与 tidb_version() 基础信息核查，validate_password.* 复杂度与账户级登录锁定身份鉴别核查，SHOW GRANTS 与 mysql.role_edges 访问控制核查，tidb_general_log、慢查询日志与 CLUSTER_LOG 安全审计核查，require_secure_transport 传输加密与 TiKV 静态加密数据保密性核查，tiup cluster display 多副本与 br log status 备份恢复核查，附版本支持策略、与 MySQL 参数差异及现场取证注意事项。
---
LLMS index: [llms.txt](/wikis/llms.txt)
---
> TiDB数据库三级等级保护现场核查命令脚本（统一编号版）
>
> 定位：三级等保现场测评取证命令单，按功能小节组织核查命令、预期现象与判定要点。
> 适用范围：TiDB v7.x/v8.x 自建集群（TiUP 部署为主），经 MySQL 协议登录核查；TiDB 与 MySQL 的安全参数体系差异较大，严禁照搬 MySQL 口径，云上能力差异见「主流版本差异说明」。
## 基础信息
```bash
# TiDB 兼容 MySQL 协议，用 mysql 客户端登录；默认 SQL 端口 4000（非 3306）
mysql -h192.168.10.21 -P 4000 -uroot -p -A # 登录 TiDB（客户端来源、账号记录入底稿）
tiup cluster list # TIUP 部署工具：列出本中控机管理的集群（只读）
tiup cluster display <集群名> # 展示各节点组件、端口、版本与运行状态（只读）
tiup cluster display <集群名> --dashboard # 查询 TiDB Dashboard 实际服务地址（经 PD Client 端口提供）
```
```sql
select version(); -- MySQL 兼容格式版本号，形如 8.0.11-TiDB-v<真实版本>（官方示例：TiDB v7.5.1 将自身标识为 MySQL 8.0.11），真实版本看 -TiDB-v 之后的串
select tidb_version()\G -- TiDB 真实版本与构建信息：Release Version / Edition / Git Commit Hash / Store 等
select user(), current_user(); -- 当前登录用户与生效账户
show databases; -- 数据库列表
```
- **对应控制点**：无对应条款（测评准备项：确认测评对象、版本与部署形态，据此选定后续核查命令）。
- **判定要点**：仅记录事实，不下符合性结论；先确认 TiDB 真实版本（v7.x/v8.x 具体 LTS 小版本）与部署形态（单 TiDB/TiUP 多节点拓扑、TiKV 副本数、是否含 TiFlash），并以 `tiup cluster display` 输出固定组件清单（差异见「重点差异」）。
- **取证要求**：`version()`、`tidb_version()`、`tiup cluster list/display` 查询截图，登录账号与来源记录，部署形态（拓扑图、组件清单：TiDB/PD/TiKV/TiFlash/PD 监控）说明。
- **备注**：`select version()` 返回以 `8.0.11-TiDB-v` 开头（旧版本存在 `5.7.25-TiDB-v` 前缀）是为兼容 MySQL 协议而伪造的版本串，不得据此判定对象为 MySQL，真实版本一律以 `-TiDB-v` 之后的串为准，并与 `tidb_version()`、`tiup cluster display` 的 Cluster version 互证。TiDB 为分布式数据库，操作系统级控制点（最小安装、恶意代码防范等）由宿主服务器测评覆盖，本分册不重复取证。
- **预期证据**：版本查询结果截图、集群拓扑截图、部署架构图或 tiup 集群清单截图。
示例输出（节选）
mysql> select version();
+-----------------------+
| version() |
+-----------------------+
| 8.0.11-TiDB-v8.5.1 |
+-----------------------+
mysql> select tidb_version()\G
*************************** 1. row ***************************
TIDB_VERSION(): Release Version: v8.5.1
Edition: Community
Git Commit Hash: 7d16cc79e81bbf573124df3fd9351c26963f3e70
Git Branch: heads/refs/tags/v8.5.1
UTC Build Time: 2025-01-08 03:18:02
GoVersion: go1.23.4
Race Enabled: false
Check Table Before Drop: false
Store: tikv
**高风险提示**：root 账户保留默认空口令/弱口令（新部署集群 root 默认无口令，且该口令同时可无验证登录 TiDB Dashboard）、密码复杂度与有效期保持默认关闭且无外围补偿，均属高风险情形。对应判定详见 [22、高风险判定指引与加固对照表](../../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
### A. 身份标识唯一、口令复杂度、定期更换
```sql
select user, host, plugin from mysql.user order by user, host; -- 账户清单与认证插件（字段以现场版本实测为准），核查账户唯一性与共享账户
show variables like 'validate_password%'; -- TiDB 内置密码复杂度变量（v6.5.0 起，点分形式 validate_password.*）：enable 默认 OFF、length 默认 8、policy 默认 MEDIUM
show variables like 'default_password_lifetime'; -- 口令自动过期（天），默认 0=永不过期；配置后过期须重置口令方可继续登录
show variables like 'password_history'; -- 密码重用：不得与最近 N 次重复，默认 0=不限制
show variables like 'password_reuse_interval'; -- 密码重用：N 天内不得重复，默认 0=不限制
```
- **备注**：validate_password.* 为 TiDB **内置系统变量**（点分形式），无需安装插件（区别于 MySQL 5.7 的 validate_password 插件与 8.0 的组件），开箱默认全部不做复杂度校验（enable=OFF），policy 默认 MEDIUM 但仅在 enable=ON 后生效。口令过期、密码重用均为 v6.5.0 起的账户级/全局级能力，默认关闭。未启用复杂度校验时应核查是否由堡垒机、统一身份认证或口令管理制度补偿。`SET GLOBAL validate_password.enable`、`SET GLOBAL default_password_lifetime` 属变更操作，现场只记录不执行。
- **预期证据**：账户列表截图、validate_password.* 与 default_password_lifetime 截图、账号管理制度或账号台账。
- **整改对照（由 DBA 执行，属变更操作）**：`SET GLOBAL validate_password.enable = ON;`、`SET GLOBAL validate_password.length = 8;`、`SET GLOBAL default_password_lifetime = 90;`，随后对存量账户重设口令使其接受复杂度校验。此类语句会改变全部新设口令的校验行为，须走变更审批并在业务低峰执行。
示例输出（节选）
mysql> show variables like 'validate_password%';
+--------------------------------------+--------+
| Variable_name | Value |
+--------------------------------------+--------+
| validate_password.check_user_name | ON |
| validate_password.dictionary | |
| validate_password.enable | ON |
| validate_password.length | 8 |
| validate_password.mixed_case_count | 1 |
| validate_password.number_count | 1 |
| validate_password.policy | MEDIUM |
| validate_password.special_char_count | 1 |
+--------------------------------------+--------+
8 rows in set (0.00 sec)
（enable 默认 OFF，示例中 ON 为现场已配置值；字段清单以现场版本实测为准）
mysql> show variables like 'default_password_lifetime';
+---------------------------+-------+
| Variable_name | Value |
+---------------------------+-------+
| default_password_lifetime | 90 |
+---------------------------+-------+
（默认值为 0=永不过期，示例中 90 为现场已配置值）
示例输出（节选）
mysql> show create user 'appuser'@'%';
+----------------------------------------------------------------------------------------------+
| CREATE USER for appuser@% |
+----------------------------------------------------------------------------------------------+
| CREATE USER 'appuser'@'%' IDENTIFIED BY '****' ... FAILED_LOGIN_ATTEMPTS 5 PASSWORD_LOCK_TIME 1 ... |
+----------------------------------------------------------------------------------------------+
（官方示例语法：CREATE USER 'test'@'localhost' FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 1 即失败 3 次锁定 1 天）
mysql> show variables like 'wait_timeout';
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| wait_timeout | 600 |
+---------------+-------+
（默认 28800，示例中 600 为现场已配置值）
示例输出（节选）
mysql> show variables like 'require_secure_transport';
+--------------------------+-------+
| Variable_name | Value |
+--------------------------+-------+
| require_secure_transport | ON |
+--------------------------+-------+
mysql> show status like '%Ssl%';
+---------------+--------------------+
| Variable_name | Value |
+---------------+--------------------+
| Ssl_cipher | TLS_AES_128_GCM_SHA256 |
+---------------+--------------------+
（其余行以现场输出为准）
mysql> show config where type = 'tidb' and name like '%ssl%';
+------+--------------------+-------------------+-----------------+
| Type | Instance | Name | Value |
+------+--------------------+-------------------+-----------------+
| tidb | 192.168.10.21:4000 | security.ssl-ca | /data/ssl/ca.pem|
| tidb | 192.168.10.21:4000 | security.ssl-cert | /data/ssl/tidb.pem |
| tidb | 192.168.10.21:4000 | security.ssl-key | /data/ssl/tidb.key |
+------+--------------------+-------------------+-----------------+
示例输出（节选）
mysql> show grants for 'root'@'%';
+--------------------------------------------------------------+
| Grants for root@% |
+--------------------------------------------------------------+
| GRANT ALL PRIVILEGES ON *.* TO `root`@`%` WITH GRANT OPTION |
+--------------------------------------------------------------+
mysql> show grants for 'appuser'@'192.168.10.%';
+------------------------------------------------------------------------+
| Grants for appuser@192.168.10.% |
+------------------------------------------------------------------------+
| GRANT SELECT, INSERT, UPDATE ON `appdb`.* TO `appuser`@`192.168.10.%` |
+------------------------------------------------------------------------+
示例输出（节选）
mysql> select user, host from mysql.user where host = '%';
+---------+------+
| user | host |
+---------+------+
| root | % |
| appuser | % |
+---------+------+
（host='%' 账户应在网络层或部署形态上说明等效来源控制）
**高风险提示**：数据库无任何安全审计措施（无第三方审计、无日志外发集中存储）属高风险情形。对应判定详见 [22、高风险判定指引与加固对照表](../../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
### A. 审计功能是否开启
```sql
show variables like 'tidb_general_log'; -- 全量 SQL 记录开关，默认 OFF：开启后所有 SQL 写入 TiDB 运行日志，属诊断能力，不宜长期开启
show variables like 'tidb_enable_slow_log'; -- 慢查询日志开关，默认 ON
show variables like 'tidb_slow_log_threshold'; -- 慢查询记录阈值（毫秒），默认 300
```
```bash
tiup cluster audit # tiup 中控机侧：历史运维命令与执行日志（运维操作留痕，只读）
```
- **备注**：tidb_general_log 默认 OFF，开启会显著增大日志量并影响性能，不能作为常态审计方案；慢查询日志仅覆盖超过阈值的语句，非全量。等保口径的审计留存（不少于 6 个月）通常需以第三方数据库审计（旁路镜像）、堡垒机审计或日志外发平台补偿取证，现场应核查并截图。`SET GLOBAL tidb_general_log = ON` 属变更操作，现场只记录不执行。
- **预期证据**：审计变量截图、第三方数据库审计界面截图、日志平台采集任务截图。
示例输出（节选）
mysql> show variables like 'tidb_general_log';
+------------------+-------+
| Variable_name | Value |
+------------------+-------+
| tidb_general_log | OFF |
+------------------+-------+
mysql> show variables like 'tidb_slow_log_threshold';
+-------------------------+-------+
| Variable_name | Value |
+-------------------------+-------+
| tidb_slow_log_threshold | 300 |
+-------------------------+-------+
示例输出（节选）
mysql> select time, user, host, db, query from information_schema.cluster_slow_query limit 3;
+---------------------+---------+---------------+-------+--------------------------------------------+
| time | user | host | db | query |
+---------------------+---------+---------------+-------+--------------------------------------------+
| 2026-09-02 22:11:03 | appuser | 192.168.10.30 | appdb | SELECT * FROM t_order WHERE order_id=10086 |
| 2026-09-02 22:10:47 | appuser | 192.168.10.30 | appdb | UPDATE t_order SET status=1 WHERE ... |
| 2026-09-02 22:09:12 | report | 192.168.10.31 | appdb | SELECT ... GROUP BY ... |
+---------------------+---------+---------------+-------+--------------------------------------------+
（列名与格式以现场版本实测为准，节选示意）
示例输出（节选）
mysql> show config where type = 'tidb' and name like 'log.file%';
+------+--------------------+--------------------+--------+
| Type | Instance | Name | Value |
+------+--------------------+--------------------+--------+
| tidb | 192.168.10.21:4000 | log.file.max-size | 300 |
| tidb | 192.168.10.21:4000 | log.file.max-days | 0 |
| tidb | 192.168.10.21:4000 | log.file.max-backups | 0 |
+------+--------------------+--------------------+--------+
（默认值口径：max-size 300MB、max-days 0、max-backups 0）
示例输出（节选）
mysql> show status like '%Ssl%';
+---------------+--------------------+
| Variable_name | Value |
+---------------+--------------------+
| Ssl_cipher | TLS_AES_128_GCM_SHA256 |
+---------------+--------------------+
（同身份鉴别节 C 小节输出）
**高风险提示**：远程管理与重要业务连接明文传输（未启用 TLS 且无其他密码技术补偿）属高风险情形。对应判定详见 [22、高风险判定指引与加固对照表](../../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
### A. 传输过程保密性
```sql
show variables like 'require_secure_transport'; -- 默认 OFF，ON 表示拒绝非加密连接
show config where type = 'tidb' and name like '%ssl%'; -- 服务端 TLS 证书配置项
```
- **备注**：应证明数据库管理连接、重要业务连接在传输过程中采用密码技术保护；配合账户级 REQUIRE SSL/REQUIRE X509 与客户端加密重连取证。自 v5.2.0 起支持 auto-tls，生产环境建议使用受控 CA 签发证书并经 tls-version 限定 TLSv1.2 及以上。
- **预期证据**：TLS 配置截图、证书文件截图、客户端加密连接截图、远程运维链路说明。
示例输出（节选）
mysql> show config where type = 'tidb' and name like '%ssl%';
+------+--------------------+-------------------+-----------------+
| Type | Instance | Name | Value |
+------+--------------------+-------------------+-----------------+
| tidb | 192.168.10.21:4000 | security.ssl-ca | /data/ssl/ca.pem|
| tidb | 192.168.10.21:4000 | security.ssl-cert | /data/ssl/tidb.pem |
| tidb | 192.168.10.21:4000 | security.ssl-key | /data/ssl/tidb.key |
+------+--------------------+-------------------+-----------------+
（同身份鉴别节 C 小节输出）
示例输出（节选）
mysql> show config where type = 'tikv' and name like '%encryption%';
+------+---------------------+--------------------------------------------+-------------+
| Type | Instance | Name | Value |
+------+---------------------+--------------------------------------------+-------------+
| tikv | 192.168.10.24:20160 | security.encryption.data-encryption-method | aes256-ctr |
+------+---------------------+--------------------------------------------+-------------+
（默认值为 plaintext=未开启，示例中 aes256-ctr 为现场已配置值；列名以现场输出为准）
**高风险提示**：重要数据无本地备份、有备份但从未验证恢复属高风险情形。对应判定详见 [22、高风险判定指引与加固对照表](../../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
### A. 本地数据备份与恢复
```bash
tiup br log status --pd http://192.168.10.23:2379 # 日志备份（PiTR 的前提）任务状态查询（只读）：任务存在且状态 NORMAL、checkpoint 持续推进
ls -lh /data/backup/ # 只读查看备份集目录（NFS 挂载或对象存储挂载点，路径以现场为准）
```
```bash
# 发起备份属变更类操作，现场不执行，仅记录能力口径（以现场版本官方文档为准）：
# tiup br backup full ... —— 集群全量快照备份
# tiup br restore point ... —— 恢复到指定时间点（PiTR，自 v6.2.0 起提供）
# tiup dumpling -h127.0.0.1 -P 4000 -uroot -p -B appdb -o /tmp/dump —— 逻辑导出（ Dumpling ）
```
- **备注**：TiDB 备份恢复体系为 BR（快照/日志备份）、Dumpling（逻辑导出）、TiDB Lightning（导入），与 MySQL 的 mysqldump/binlog 生态不同，勿照抄 MySQL 口径；日志备份（PiTR 基础）自 v6.2.0 起提供。备份的定时调度通常由外部平台/定时任务承担，应以备份记录、备份集清单与恢复演练记录为主要证据；br log status 无任务或备份目录为空时，须重点访谈并核实实际备份手段。BR 备份到兼容 S3 的存储可启用服务端加密，可作为备份介质保密性证据。
- **预期证据**：br log status 截图、备份集清单截图、备份任务/调度平台截图、恢复演练记录。
示例输出（节选）
$ tiup br log status --pd http://192.168.10.23:2379
● Log Backup Task
> TASK: daily-log-backup
> STATUS: NORMAL
> START TIME: 2026-08-20 02:00:11
> LAST CHECKPOINT: 2026-09-02 23:55:04
（输出格式与字段以现场 BR 版本为准，节选示意）
示例输出（节选）
$ tiup cluster display tidb-prod
Cluster type: tidb
Cluster name: tidb-prod
Cluster version: v8.5.1
ID Role Host Ports Status Data Dir
192.168.10.21:4000 tidb 192.168.10.21 4000/10080 Up -
192.168.10.23:2379 pd 192.168.10.23 2379/2380 Up|L /data/deploy/data.pd
192.168.10.24:20160 tikv 192.168.10.24 20160/20180 Up /data/deploy/data.tikv
192.168.11.24:20160 tikv 192.168.11.24 20160/20180 Up /data/deploy/data.tikv
（TiKV 节点分属不同网段/机房时，与机房说明互证副本异地分布）
示例输出（节选）
$ ss -lntp | grep -E 'tidb|pd|tikv'
LISTEN 0 128 *:4000 *:* users:(("tidb-server",pid=1201,...))
LISTEN 0 128 *:10080 *:* users:(("tidb-server",pid=1201,...))
LISTEN 0 128 *:2379 *:* users:(("pd-server",pid=1301,...))
LISTEN 0 128 *:20160 *:* users:(("tikv-server",pid=1401,...))