使用免费MySQL托管存储用户凭证是否安全？零预算方案咨询

首先直接给你关心的结论：remotemysql.com、db4free.net这类公共免费MySQL托管服务，完全不适合存储用户凭证、帖子这类业务数据，核心问题不是性能不够，是安全和稳定性完全没有保障：

• 这类服务大多是厂商做测试用的公共资源，既不承诺数据留存，也没有基础的安全防护：很多实例默认不对传输链路加密，部分平台运维侧甚至能直接明文查看所有存储数据，历史上出现过多次整库数据被公开爬取、无通知清库的情况，存用户密码这类敏感信息风险极高。
• 这类服务默认对所有公网IP开放访问，没有内置的防扫描、防注入能力，只要被批量扫描工具扫到端口，弱密码或者代码有小漏洞就会被拖库。

针对你零预算、部署在Heroku、面向本校小规模用户的场景，有几个完全免费、足够安全的落地方案可以选：

• 优先用Heroku平台自带的免费MySQL插件：插件和你的应用部署在同一内网环境，不需要暴露公网数据库端口，天然规避公网扫描风险，免费额度足够支撑上千名用户的日常发帖、账号存储需求，唯一限制是长时间无访问时会和免费Heroku应用一同休眠，对校内小平台来说几乎不影响使用。
• 可以申请主流公有云面向学生群体的永久免费云数据库资源：只要完成学生身份认证（高中在读凭学生证即可通过），就能拿到基础配置的免费MySQL实例，自带IP白名单、传输加密、自动备份能力，安全等级比公共免费托管服务高很多，足够支撑你的项目运行全程，不需要花任何费用。

不管你最后选哪种免费方案，几个基础安全措施一定要做，都是初学者花半小时就能搞定的，能挡住99%的常见风险：

• 用户密码绝对不能明文存储，必须用bcrypt这类带随机盐的慢哈希算法处理后再入库，就算最坏情况数据库泄露，攻击者也无法还原出用户的真实密码。
• 给业务程序单独配数据库账号，只给这个账号操作业务表的增删改查权限，不要直接用数据库最高权限账号连项目，避免出现SQL注入时被整库删除或篡改。
• 所有公网可访问的数据库一定要开IP白名单，只把你Heroku应用的出口IP加到允许访问列表里，绝对不要把数据库端口对全网开放。
• 养成定期手动备份的习惯，每周导出一次全量数据库文件存在自己本地，免费服务没有服务稳定性承诺，自己留备份永远不会出大问题。

不用因为用免费资源有心理负担，校内小平台用户规模有限，只要把上面这些基础配置做对，完全可以稳定安全地跑起来，等后续有需求了再考虑升级付费服务就行。

内容的提问来源于stack exchange，提问作者Nugget