mysql的文件导入导出功能在日常数据运维中非常常用，比如通过LOAD DATA语句导入csv文件数据，或者使用SELECT INTO OUTFILE导出查询结果到本地文件，这些操作都受secure_file_priv参数的安全管控。如果配置不当，可能会导致数据库被攻击者利用，读取服务器上的敏感文件，或者写入恶意文件到服务器目录。
secure_file_priv参数基本概念
secure_file_priv是mysql的一个全局系统变量，用于限制LOAD DATA、SELECT INTO OUTFILE、LOAD_FILE()等文件相关操作的可操作目录范围，是mysql保障文件操作安全的重要配置项。该参数只能在mysql服务端配置文件中设置，不支持运行时动态修改，修改后需要重启mysql服务才能生效。
secure_file_priv不同取值的含义
该参数有三种常见的取值情况，分别对应不同的限制规则，具体如下表所示：
| 取值 | 含义 |
|---|---|
| NULL | 禁止所有文件导入导出操作，LOAD DATA、SELECT INTO OUTFILE、LOAD_FILE()等函数全部无法使用 |
| 空字符串 | 不对文件导入导出目录做任何限制，操作可以访问服务器上mysql进程有权限的所有目录，存在较大安全风险 |
| 指定目录路径 | 文件导入导出操作只能在该指定目录下进行，路径外的文件无法被读取或写入 |
secure_file_priv的配置方法
Windows系统配置步骤
首先找到mysql的配置文件my.ini，一般默认路径为C:ProgramDataMySQLMySQL Server 8.0my.ini，如果找不到可以通过mysql命令行查询配置文件路径：
-- 查询mysql配置文件路径 SHOW VARIABLES LIKE 'config_file';
打开my.ini文件，在[mysqld]配置段下添加或修改secure_file_priv配置，比如限制文件操作只能放在D:mysql_file目录下：
[mysqld] # 限制文件导入导出只能操作D:mysql_file目录 secure_file_priv = "D:mysql_file"
保存配置文件后，重启mysql服务，配置即可生效。
Linux系统配置步骤
Linux系统下mysql的配置文件一般为/etc/my.cnf或者/etc/mysql/my.cnf，同样先通过命令行查询配置路径：
-- 查询mysql配置文件路径 SHOW VARIABLES LIKE 'config_file';
编辑配置文件，在[mysqld]段添加配置，比如限制目录为/var/lib/mysql-files：
[mysqld] # 限制文件导入导出只能操作/var/lib/mysql-files目录 secure_file_priv = /var/lib/mysql-files
保存后重启mysql服务，注意要保证mysql进程对配置的目录有读写权限，否则操作会失败。
配置生效验证
配置完成后，可以通过mysql命令行查询该参数的当前值，确认配置是否生效：
-- 查询secure_file_priv当前配置值 SHOW VARIABLES LIKE 'secure_file_priv';
如果返回的结果和配置的路径一致，说明配置已经生效。此时可以尝试执行文件导入导出操作，比如导出数据到指定目录：
-- 导出查询结果到指定目录的文件，目录必须是secure_file_priv配置的目录 SELECT * FROM test_table INTO OUTFILE '/var/lib/mysql-files/test_data.csv' FIELDS TERMINATED BY ',' ENCLOSED BY '"' LINES TERMINATED BY 'n';
如果操作成功，说明配置正常；如果提示路径不允许，说明配置未生效或者目录不在允许范围内。
安全配置建议
- 不要将secure_file_priv设置为空字符串，避免文件操作无限制带来安全风险
- 如果不需要文件导入导出功能，建议将该参数设置为NULL，彻底禁用相关操作
- 指定的目录权限要严格控制，只允许mysql进程读写，避免其他用户访问该目录下的文件
- 配置目录不要放在网站根目录或者系统敏感目录下，防止文件被外部访问
注意：修改配置文件前建议先备份原配置文件，避免配置错误导致mysql服务无法启动。如果重启服务失败，可以查看mysql的错误日志排查问题。
mysqlsecure_file_priv文件导入导出数据库安全修改时间：2026-06-24 07:42:27