Веб-приложению не нужен административный доступ ко всему серверу MySQL/MariaDB. Для Joomla, WordPress и другого сайта правильнее создать отдельную учётную запись и разрешить ей работать только с базой конкретного проекта. Это не делает сайт неуязвимым, но заметно ограничивает область доступа в случае утечки реквизитов.
Старая версия этой инструкции советовала входить как root без пароля и выдавать новому пользователю все глобальные привилегии. Для современного рабочего сайта так делать не следует. Ниже — актуальная схема через панель хостинга, phpMyAdmin и SQL.
Пользователь базы данных — не пользователь Joomla
Учётная запись MySQL/MariaDB существует на сервере СУБД и используется приложением для подключения. Она не имеет отношения к логину суперпользователя Joomla. Даже если имена случайно совпадают, это две независимые системы авторизации.
Для подключения сайта нужны имя аккаунта БД, пароль и host. На shared-хостинге имя пользователя может автоматически получить префикс аккаунта, поэтому в configuration.php нужно использовать полное значение из панели.
Три способа создать пользователя базы данных
Способ 1. Панель хостинга. Если сайт находится на обычном хостинге, пользователя лучше создавать через штатную панель. Провайдер ограничивает доступ рамками аккаунта и не требует входить под серверным root.
Последовательность обычно состоит из нескольких действий:
- Откройте раздел «Базы данных».
- Создайте базу или выберите уже существующую.
- Создайте отдельного пользователя и сгенерируйте длинный случайный пароль.
- Свяжите пользователя с нужной базой и назначьте права на неё.
- Сохраните реквизиты и внесите их в конфигурацию CMS.
Некоторые панели создают базу и пользователя одним действием. Это нормально, если в результате пользователь получает доступ только к базе сайта, а не глобальные административные права.
Способ 2. phpMyAdmin. В phpMyAdmin управление аккаунтами находится в разделе «Учётные записи пользователей» / User accounts. Этот раздел доступен только тогда, когда текущая учётная запись имеет необходимые административные полномочия. На shared-хостинге провайдер может скрыть его полностью.
При создании пользователя обратите внимание на три параметра. Имя задавайте латиницей и без лишних пробелов. Host для сайта и БД на одном сервере чаще всего localhost; значение % означает более широкий набор источников подключения и без необходимости использовать его не стоит. Пароль лучше генерировать менеджером паролей или самой панелью.
После создания аккаунта назначьте ему привилегии на конкретную базу. Обычному пользователю БД в общем случае не нужны глобальные привилегии — права следует выдавать на нужную базу.
Способ 3. SQL. На собственном сервере ту же задачу можно выполнить командами SQL. В примере приложение и сервер БД находятся на одном хосте:
CREATE USER 'site_user'@'localhost'
IDENTIFIED BY 'сложный_уникальный_пароль';
GRANT ALL PRIVILEGES
ON site_db.*
TO 'site_user'@'localhost';
SHOW GRANTS FOR 'site_user'@'localhost';Здесь ALL PRIVILEGES ограничены уровнем site_db.*, то есть одной базой. Это принципиально отличается от глобального *.*. Команда SHOW GRANTS позволяет сразу проверить, что выдали именно те права, которые планировали.
Права и параметры подключения Joomla
Работающая CMS не только читает и изменяет строки. Установка и обновление Joomla или расширений может создавать таблицы, менять столбцы и удалять устаревшие структуры. Поэтому слишком жёсткое ограничение привилегий способно привести к ошибкам во время обновления.
Практический подход такой: пользователь сайта получает полный набор необходимых прав в пределах одной базы, но не глобальные права на весь сервер. Дополнительное ужесточение имеет смысл только тогда, когда вы понимаете сценарии обновления и готовы их тестировать.
Что изменить после смены пользователя. Если сайт уже работал под другой учётной записью, сначала создайте новую и выдайте ей права, а старую пока не удаляйте. Затем измените реквизиты подключения и проверьте сайт.
public $host = 'localhost';
public $user = 'site_user';
public $password = 'новый_пароль';
public $db = 'site_db';После сохранения откройте несколько страниц сайта, войдите в административную панель и выполните действие, которое записывает данные, например сохранение тестового материала без фактического изменения контента. Только после такой проверки стоит удалять старого пользователя.
Что означает часть @localhost. В MySQL-совместимых СУБД аккаунт определяется сочетанием имени и host. Условные 'site_user'@'localhost' и 'site_user'@'%' — разные аккаунты с потенциально разными правами.
Если приложение находится на другом сервере, нужно использовать значение, которое соответствует реальной сетевой схеме и политике хостинга. Открывать удалённый доступ с любого адреса только ради устранения ошибки Access denied — плохая практика. Лучше точно определить источник подключения и дополнительно ограничить доступ сетевым экраном.
Как безопасно заменить или удалить пользователя
Удаление пользователя и удаление базы — разные операции. Если нужно сменить реквизиты сайта, безопасная последовательность выглядит так:
- Сделайте резервную копию базы.
- Создайте нового пользователя.
- Выдайте ему права на рабочую БД.
- Обновите конфигурацию сайта.
- Проверьте чтение и запись данных.
- Только после проверки удалите старую учётную запись.
Такой порядок не требует удалять или пересоздавать саму базу. Если же нужно удалить и БД, это должно быть отдельным осознанным действием после экспорта дампа.
Типичные ошибки и их причины
Сообщение о невозможности подключиться к базе редко означает, что сама БД повреждена. Чаще причина находится в реквизитах или правах:
- Access denied — неправильный пароль, host или недостаточные привилегии;
- пользователь создан, но не привязан к нужной базе;
- в конфигурации указан короткий логин без обязательного префикса хостинг-аккаунта;
- аккаунт создан для
localhost, а подключение фактически приходит с другого host; - права изменили, но приложение всё ещё использует старые реквизиты;
- после миграции указано имя не той базы.
Начинайте диагностику с панели хостинга и файла конфигурации, а затем используйте SHOW GRANTS, если у вас есть доступ к SQL-консоли или соответствующему разделу phpMyAdmin.
Итог
Для сайта нужен отдельный пользователь MySQL/MariaDB с сильным паролем и правами на конкретную базу. Использовать root без пароля или выдавать приложению глобальные привилегии *.* не требуется.
Перед созданием пользователя полезно разобраться, как устроена база данных. Если самой базы ещё нет или её нужно перенести под новым именем, используйте инструкцию «Как создать базу данных MySQL/MariaDB».
