Utilize senhas para todos os usuários MySQL. Lembre-se que qualquer um pode logar como qualquer outra pessoa simplesmente com mysql -u outro_usuário nome_bd se outro_usuário não tiver senha. Isto é um procedimento comum com aplicações cliente/servidor que o cliente pode especificar qualquer nome de usuário. Você pode alterar a senha de todos seus usuários editando o script mysql_install_db antes de executá-lo ou somente a senha para o usuário root do MySQL desta forma:

shell> mysql -u root mysql
mysql> UPDATE user SET Password=PASSWORD('nova_senha')
    ->             WHERE user='root';
mysql> FLUSH PRIVILEGES;

Não execute o daemon do MySQL como o usuário root do Unix. Isto é muito perigoso, porque qualquer usuário com privilégios FILE estará apto a criar arquivos como o root (por exemplo, ~root/.bashrc). Para prevenir esta situação, mysqld irá recusar a execução como root a menos que ele seja especificado diretamente usando a opção --user=root.

O mysqld pode ser executado como um usuário normal sem privilégios. Você pode também criar um novo usuário Unix mysql para tornar tudo mais seguro. Se você executar o mysqld como outro usuário Unix, você não precisará alterar o usuário root na tabela user, porque nomes de usuário do MySQL não tem nada a ver com nomes de usuários Unix. Para iniciar o mysqld como outro usuário Unix, adicione uma linha user que especifica o nome de usuário para o grupo [mysqld] do arquivo de opções /etc/my.cnf ou o arquivo de opções my.cnf no diretório de dados do servidor. Por exemplo:

[mysqld]
user=mysql

Estas opções configuram o servidor para iniciar como o usuário designado quando você o inicia manualmente ou usando mysqld_safe ou mysql.server. Para maiores detalhes, veja Secção A.3.2, “Como Executar o MySQL Como Um Usuário Normal”.

Não suportar links simbólicos para tabelas (Isto pode ser desabilitado com a opção --skip-symlink. Isto é muito importante caso você execute o mysqld como root, assim qualquer um que tenha acesso à escrita aos dados do diretório do mysqld podem apagar qualquer arquivo no sistema! See Secção 5.6.1.2, “Utilizando Links Simbólicos para Tabelas”.

Verfique se o usuário Unix que executa o mysqld é o único usuário com privilégios de leitura/escrita nos diretórios de bancos de dados.

Não forneça o privilégio PROCESS para todos os usuários. A saída de mysqladmin processlits mostra as consultas atualmente em execução, portanto qualquer usuário que consiga executar este comando deve ser apto a ver se outro usuário entra com uma consulta do tipo UPDATE user SET password=PASSWORD('não_seguro').

O mysqld reserva uma conexão extra para usuários que tenham o privilégio process, portanto o usuário root do MySQL pode logar e verificar a atividade do servidor mesmo se todas as conexões normais estiverem em uso.

Não conceda o privilégio FILE a todos os usuários. Qualquer usuário que possua este privilégio pode gravar um arquivo em qualquer lugar no sistema de arquivos com os privilégios do daemon mysqld! Para tornar isto um pouco mais seguro, todos os arquivos gerados com SELECT ... INTO OUTFILE são lidos por todos, e não se pode sobrescrever arquivos existentes.

O privilégio FILE pode também ser usado para ler qualquer arquivo acessível para o usuário Unix com o qual o servidor está sendo executado. Pode ocorrer abusos como, por exemplo, usar LOAD DATA para carregar o arquivo /etc/passwd em uma tabela, que pode então ser lido com SELECT.

Se você não confia em seu DNS, você deve utilizar números IP no lugar de nomes de máquinas nas tabelas de permissão. De qualquer forma, você deve ter muito cuidado ao criar entradas de concessão utilizando valores de nomes de máquinas que contenham metacaractes!

Se você deseja restrigir o número de conexões para um único usuário, você pode faze-lo configurando a variável max_user_connections no mysqld.