应用数据库不一定需要向公网无限制开放。先明确哪个进程要从哪台机器连接，应用的日常访问与偶尔的管理操作也可以采用不同安排。
画清连接路径
列出应用主机、数据库主机和管理电脑。同机运行时可以考虑合适的本地连接；分开部署时，检查实际环境提供的私网和访问控制。
容器网络和本机名称需要单独确认：容器里的 localhost 指向容器自身。记录应用实际看到的端点，不只记录自己使用数据库工具时的地址。
每一层分别配置
数据库监听、网络规则和账户解决不同问题。监听目标地址不代表自动授权账户，密码正确也不代表网络路径允许。应按所安装引擎和部署方式的文档操作。
- 只允许真正需要连接的来源。
- 为应用分配符合其操作范围的账户。
- 将日常应用访问与结构管理分开。
- 按需要使用引擎支持的加密连接设置。
- 临时支持权限要有撤销安排。
从应用环境实际验证
在应用主机测试预期连接，并验证代表性操作。按预定策略，也检查非预期路径是否不可用。不要在公开连接测试接口中返回数据或凭证。
托管数据库或共享服务提供指定端点时，按其支持方式访问，不修改无权管理的基础设施。VPS 部署可以把网络示意一并交给技术支持，让数据库准备与应用配置同时考虑。