# 129 Admin：允许所有公网 IP 连接生产 MySQL 业务账号

- 类型：生产配置 / 安全例外
- 父级大工单：#76
- 所属 MVP / 版本：#77 / 生产数据库公网连接
- 状态：已完成（待用户验收）
- 日期：2026-08-11
- Gitea 工单：http://ilaer.eicp.net:8418/chengma/cmautobuy/issues/129

## 背景与目标

本地 Admin 的公网出口 IP 发生变化后，服务器原 `/32` 白名单会丢弃连接，
`run_admin.bat` 在 5 秒连接超时后退出。项目负责人明确授权生产 MySQL 3307
接受所有公网来源，同时继续限制业务账号、数据库范围和 TLS。

## 最终方案

- 在 INPUT 链的 3307 DROP 前增加全来源 NEW 连接 ACCEPT，并保存到
  `/etc/sysconfig/iptables`；变更前规则备份为
  `/root/iptables-before-mysql-public-20260811T0900.rules`。
- 新增 `buy@'%'`，克隆现有本机 `buy` 账号的密码哈希，权限限定为
  `autobuy.*`，并设置 `REQUIRE SSL`；root 和其他数据库账号保持不变。
- 因 MySQL 8.4 管理密码的既有保存副本均已失效，未重置 root 密码。改用一次性
  `init-file` 完成账号 DDL，只重启 MySQL 一次；启动后立即删除初始化文件和配置项。
  MySQL 配置备份为 `/root/mysql84.cnf-before-buy-public-20260811T0912`。
- 更新 Admin 规则、配置示例、上手指南和安全基线，记录本次经用户批准的全网来源
  例外；root 仅本机、TLS 和库级权限仍是硬性条件。

## 改了哪些

- 服务器 `/etc/sysconfig/iptables`：持久化公网 3307 全来源 ACCEPT。
- 生产 MySQL 权限表：新增 `buy@'%'`，限定 `autobuy.*` 并强制 SSL。
- `admin/AGENTS.md`：登记项目负责人批准的公网来源例外及保留门禁。
- `admin/config.example.yaml`：同步公网连接说明。
- `docs/admin/00-getting-started.md`：同步本地连接和风险说明。
- `docs/admin/06-quality-security.md`：同步生产安全基线。
- `docs/task/129-mysql允许所有公网ip连接.md`：记录实施和验收结果。

## 验收结果

| 验收标准 | 结果 |
|---|---|
| 公网 TCP 3307 连续连接稳定 | 通过，5/5 成功 |
| 公网登录身份为 `buy@%` | 通过 |
| 账号权限只作用于 `autobuy.*` | 通过 |
| 公网连接强制 SSL，关闭 TLS 会被拒绝 | 通过 |
| Go Admin 使用 `verify_ca` 完成连接、schema 自检和页面冒烟 | 通过 |
| root 未开放公网登录 | 通过，未修改 root 账号 |
| 防火墙规则已持久化且可解析 | 通过，`iptables-restore --test` 成功 |
| MySQL、Admin、Nginx、cmhub 和图片 worker 无回归 | 通过，worker 66/66 active |
| 项目规则和基线文档与用户授权一致 | 通过 |

## 测试

- 执行的命令：重复 TCP 探测；MySQL CLI 分别使用 `VERIFY_CA` 和 `DISABLED`；
  `GOTOOLCHAIN=go1.23.0 go test . -run '公网MySQLTLS' -v -count=1`；
  `GOTOOLCHAIN=go1.23.0 go test ./repository -run '公网TLS只读冒烟' -v -count=1`；
  服务器执行 systemd、HTTP、iptables 持久化和 MySQL 日志检查。
- 结果：公网 TLS cipher 为 `ECDHE-RSA-AES128-GCM-SHA256`；页面冒烟返回 303；
  明文连接返回 1045；线上 Admin 和 cmhub HTTPS 均返回 200，MySQL 重启后无严重日志。
- **没验证到的部分**：未执行防火墙回退演练；未重启整台服务器验证开机加载，但已验证
  `/etc/sysconfig/iptables` 内容和 `iptables-restore --test`。

## 遗留问题（选填）

- 全网开放 3307 会持续遭受互联网扫描，风险高于固定 `/32` 或 SSH 隧道。恢复固定
  出口 IP 后应优先收紧白名单。
- MySQL 8.4 root 管理密码的既有本地和宝塔保存副本均已失效；本任务没有重置 root。

## 相关提交

- 待归档提交后回写 Gitea 工单。