帶您深刻了解MySQL的權限管理

時間 2019-11-06

標籤深刻瞭解 mysql 權限管理欄目 MySQL 简体版

原文原文鏈接

MySQL 的權限表在數據庫啓動的時候就載入內存，當用戶經過身份認證後，就在內存中進行相應權限的存取，這樣，此用戶就能夠在數據庫中作權限範圍內的各類操做了。mysql

1、權限表的存取sql

在權限存取的兩個過程當中，系統會用到「mysql」數據庫(安裝 MySQL 時被建立，數據庫名稱叫「mysql」) 中 user、host 和 db 這3個最重要的權限表。shell

在這 3 個表中，最重要的表示 user 表，其次是 db 表，host 表在大多數狀況下並不使用。數據庫

user 中的列主要分爲 4 個部分：用戶列、權限列、安全列和資源控制列。安全

一般用的最多的是用戶列和權限列，其中權限列又分爲普通權限和管理權限。普通權限用於數據庫的操做，好比 select_priv、super_priv 等。服務器

當用戶進行鏈接時，權限表的存取過程有如下兩個過程：併發

先從 user 表中的 host、user 和 password 這 3 個字段中判斷鏈接的 IP、用戶名、和密碼是否存在於表中，若是存在，則經過身份驗證，不然拒絕鏈接。
若是經過身份驗證、則按照如下權限表的順序獲得數據庫權限：user -> db -> tables_priv -> columns_priv。

在這幾個權限表中，權限範圍依次遞減，全局權限覆蓋局部權限。上面的第一階段好理解，下面以一個例子來詳細解釋一下第二階段。ide

爲了方便測試，須要修改變量 sql_mode測試

// sql_mode 默認值中有 NO_AUTO_CREATE_USER (防止GRANT自動建立新用戶，除非還指定了密碼)
SET SESSION sql_mode='STRICT_TRANS_TABLES,NO_ENGINE_SUBSTITUTION';

1. 建立用戶 zj@localhost，並賦予全部數據庫上的全部表的 select 權限加密

MySQL [mysql]> grant select on *.* to zj@localhost;
Query OK, 0 rows affected, 2 warnings (0.00 sec)
MySQL [mysql]> select * from user where user="zj" and host='localhost' \G;
*************************** 1. row ***************************
Host: localhost
User: zj
Select_priv: Y
Insert_priv: N
Update_priv: N
Delete_priv: N
Create_priv: N
Drop_priv: N
Reload_priv: N
...

2. 查看 db 表

MySQL [mysql]> select * from db where user='zj' \G ;
Empty set (0.00 sec)

能夠發現，user 表的 select_priv 列是「Y」，而 db 表中並無記錄，也就是說，對全部數據庫都具備相同的權限的用戶並不須要記錄到 db 表，而僅僅須要將 user 表中的 select_priv 改成「Y」便可。換句話說，user 表中的每一個權限都表明了對全部數據庫都有權限。

3. 將 zj@localhost 上的權限改成只對 t2 數據庫上全部表的 select 權限。

MySQL [mysql]> revoke select on *.* from zj@localhost;
Query OK, 0 rows affected, 1 warning (0.02 sec)
MySQL [mysql]> grant select on t2.* to zj@localhost;
Query OK, 0 rows affected, 1 warning (0.04 sec)
MySQL [mysql]> select * from user where user='zj' \G;
*************************** 1. row ***************************
Host: localhost
User: zj
Select_priv: N
Insert_priv: N
Update_priv: N
Delete_priv: N
Create_priv: N
Drop_priv: N
Reload_priv: N
...
MySQL [mysql]> select * from db where user='zj' \G;
*************************** 1. row ***************************
Host: localhost
Db: t2
User: zj
Select_priv: Y
Insert_priv: N
Update_priv: N
Delete_priv: N
Create_priv: N
Drop_priv: N
Grant_priv: N

這時候發現，user 表中的 select_priv 變爲「N」，而 db 表中增長了 db 爲 t2 的一條記錄。也就是說，當只授予部分數據庫某些權限時，user 表中的相應權限列保持「N」，而將具體的數據庫權限寫入 db 表。table 和 column 的權限機制和 db 相似。

從上例能夠看出，當用戶經過權限認證，進行權限分配時，將按照 user -> db -> tables_priv -> columns_priv 的順序進行權限分配，即先檢查全局權限表 user，若是 user 中對應權限爲「Y」，則此用戶對全部數據庫的權限都爲「Y」，將再也不檢查 db、tables_priv 和 columns_priv;若是爲「N」，則到 db 表中檢查此用戶對應的具體數據庫，並獲得 db 中爲「Y」的權限;若是 db 中相應權限爲「N」，則再依次檢查tables_priv 和 columns_priv 中的權限，若是全部的都爲「N」，則判斷爲不具有權限。

2、帳號管理

主要包括帳號的建立，權限的更改和帳號的刪除。

1. 建立帳號

使用 grant 語法建立，示例：

(1) 建立用戶 zj ，權限爲能夠在全部數據庫上執行全部權限，只能從本地進行鏈接。

MySQL [mysql]> grant all privileges on *.* to zj@localhost;
Query OK, 0 rows affected, 2 warnings (0.00 sec)
MySQL [mysql]> select * from user where user="zj" and host="localhost" \G;
*************************** 1. row ***************************
Host: localhost
User: zj
Select_priv: Y
Insert_priv: Y
Update_priv: Y
Delete_priv: Y
Create_priv: Y
Drop_priv: Y
Reload_priv: Y
Shutdown_priv: Y

能夠發現，除了 grant_priv 權限外，全部權限在 user 表裏面都是「Y」。

(2) 在 (1) 基礎上，增長對 zj 的 grant 權限

MySQL [(none)]> grant all privileges on *.* to zj@localhost with grant option;
Query OK, 0 rows affected, 1 warning (0.01 sec)
MySQL [mysql]> select * from user where user="zj" and host='localhost' \G ;
*************************** 1. row ***************************
Host: localhost
User: zj
Select_priv: Y
Insert_priv: Y
Update_priv: Y
Delete_priv: Y
Create_priv: Y
Drop_priv: Y
Reload_priv: Y
Shutdown_priv: Y
Process_priv: Y
File_priv: Y
Grant_priv: Y
...

(3) 在 (2) 基礎上，設置密碼爲「123」

MySQL [mysql]> grant all privileges on *.* to zj@localhost identified by '123' with grant option;
Query OK, 0 rows affected, 2 warnings (0.01 sec)
MySQL [mysql]> select * from user where user="zj" and host="localhost" \G ;
*************************** 1. row ***************************
Host: localhost
User: zj
Select_priv: Y
Insert_priv: Y
Update_priv: Y
Delete_priv: Y
Create_priv: Y
Drop_priv: Y
Reload_priv: Y
......
authentication_string: *23AE809DDACAF96AF0FD78ED04B6A265E05AA257
password_expired: N
password_last_changed: 2017-09-25 20:29:42
password_lifetime: NULL

能夠發現，密碼變成了一堆加密後的字符串。

(4) 建立新用戶 zj2，能夠從任何 IP 鏈接，權限爲對 t2 數據庫裏的全部表進行 select 、update、insert 和 delete 操做，初始密碼爲「123」

MySQL [mysql]> grant select ,insert, update,delete on t2.* to 'zj2'@'%' identified by '123';
Query OK, 0 rows affected, 1 warning (0.00 sec)
MySQL [mysql]> select * from user where user='zj2' and host="%" \G;
*************************** 1. row ***************************
Host: %
User: zj2
Select_priv: N
Insert_priv: N
Update_priv: N
Delete_priv: N
Create_priv: N
Drop_priv: N
......
authentication_string: *23AE809DDACAF96AF0FD78ED04B6A265E05AA257
password_expired: N
password_last_changed: 2017-09-25 20:37:49
password_lifetime: NULL
MySQL [mysql]> select * from db where user="zj2" and host='%' \G;
*************************** 1. row ***************************
Host: %
Db: t2
User: zj2
Select_priv: Y
Insert_priv: Y
Update_priv: Y
Delete_priv: Y
Create_priv: N
Drop_priv: N
......