Mysql权限管理白皮书

mysql权限管理白皮书

1：MySQL权限的工作原理

l  连接验证阶段----确定用户能否连接DB

l  请求验证阶段----确定用户是否有足够权限操作DB

         工作过程：连接验证阶段--mysql权限系统检查用户能否允许连接到mysql服务器，根据连接的主机和mysql用户，查询 user表进行连接验证。

         请求验证阶段--Mysql权限系统根据用户对DB的所有操作请求，查询可能用到的权限表user，db，host，tables_priv,columns_priv，确定该用户是否有操作权限。

2：权限级别

         Mysql权限由如下：

* ALTER: 修改表和索引。

* CREATE: 创建数据库和表。

* DELETE: 删除表中已有的记录。

* DROP: 抛弃(删除)数据库和表。

* INDEX: 创建或抛弃索引。

* INSERT: 向表中插入新行。

* REFERENCE:未使用。

* SELECT: 检索表中的记录。

* UPDATE: 修改现存表记录。

* FILE: 读或写服务器上的文件。

* PROCESS: 查看服务器中执行的线程信息或杀死线程。

* RELOAD: 重载授权表或清空日志、主机缓存或表缓存。

* SHUTDOWN: 关闭服务器。

* ALL: 所有权限,ALL PRIVILEGES同义词。

* USAGE: 特殊的“无权限” 权限

         Mysql权限级别：全局级别、数据库级别、表级别、列级别、routine级别

l  Global Level ：

         GlobalLevel 的权限控制又称为全局权限控制，所有权限信息都保存在 mysql.user 表中。 Global Level 的所有权限都是针对整个mysql的，对所有的数据库下的所有表及所有字段都有效。（grant  ...  on  *.*  to '用户名'@'IP'  [ identifiedby '密码' ]）

l  Database Level

         DatabaseLevel相比第一个级别，主要少了以下几个权限： CREATE USER，FILE，PROCESS，RELOAD， REPLICATION CLIENT，REPLI CATIONSLAVE，SHOW DATABASES，SHUTDOWN，SUPER和USAGE 这几个权限，没有增加任何权限。（grant  ...  on  db1.*  to '用户名'@'IP'  [ identifiedby '密码' ]）

l  Table Level

         TableLevel 的权限作用范围是授权语句中所指定数据库的指定表。仅ALTER，CREATE， DELETE， DROP，INDEX，INSERT，SELECT ，UPDATE 这八种权限。（grant  ...  on  db1.tb1  to '用户名'@'IP'  [ identifiedby '密码' ]）

l  Column Level

         ColumnLevel 级别的权限仅有INSERT ， SELECT 和 UPDATE 这三种。( grant select(id, se, rank) on test.yql8 to '用户名'@'IP' [ identified by '密码' ])

l  Routine Level

         RoutineLevel 的权限主要只有 EXECUTE 和 ALTER ROUTINE 两种，主要针对的对象是procedure 和 function 这两种对象，在授予 Routine Level 权限的时候，需要指定数据库和相关对象。

         除了上面几类权限之外，还有一个非常特殊的权限 GRANT，拥有GRANT权限的用户可以将自身所拥有的任何权限全部授予其他任何用户， GRANT 权限的授予方式也和其他任何权限都不太一样，通常都是通过在执行 GRANT授权语句的时候在最后添加 WITH GRANT OPTION 子句达到授予 GRANT 权限的目的。

3：用户分类

         根据权限级别，可将用户分类分为两大类：超级用户、普通用户。

         超级用户：即拥有Globallevel权限。

         普通用户：数据库级用户、表级用户、列级用户、子程序级用户。

4：权限分配

         创建超级用户：

         方式1：grant  all [privileges] on  *.*  to  '用户名'@'IP'[identified by '密码' ]。

IP可为'host.domain.cn'或者%（匹配任何）； '用户名'可为''空，任何用户访问;*.*的第一个*表示数据库，第二个*表示表。

         方式2：insert intouser values("IP","name","password","Y","Y",........)

         创建普通用户：

         DB级用户：grant all [privileges]  on test.* to'用户名'@'IP'[ identifiedby '密码' ]。相应修改的系统表有user表、db表。

         Table级用户：grant all [privileges]on test.test to '用户名'@'IP'[ identifiedby '密码' ]。相应修改的系统表有user表、tables_priv表。

         Column级用户：grant select(id, se, rank) on test.yql8 to '用户名'@'IP'[ identifiedby '密码' ]。相应修改的系统表有user表、tables_priv表、columns_priv表。

         子程序级用户： grant execute on procedure/ functiontest.yql8 to '用户名'@'IP';

5：权限回收

l  使用REVOKE。 revokeprivileges on *.* from  '用户名'@'IP'。  user表中的条目仍存在。

l  修改权限表。delete from mysql.db where user='*' andhost ='*' and db='*'

6：备有语句

n  查看当前用户权限：showgrants；

n  查看其他用户权限：showgrants for '*'@'*'；

n  创建用户：createuser '用户名'@'IP'identified by '密码';

n  修改用户密码：SETPASSWORD FOR用户名@'IP'=PASSWORD('password2')

n  删除用户：dropuser  '*'@'*'；

n  创建表权限：grantcreate on  *.*  to  '用户名'@'IP';

n  创建临时表权限：grant create temporary tables on *.* to '用户名'@'IP';

n  创建视图权限：grantcreate view on *.* to '用户名'@'IP';

n  创建用户权限：grantcreate user on  *.* to '用户名'@'IP';

n  显示视图权限：grantshow view on *.* to '用户名'@'IP';

n  查看主从/服务器状态权限：grant replication client  on *.* to  '用户名'@'IP'identified by '密码'（show master status ; show slave status）。

n  从服务器读取二进制日志权限：grant replication slave on *.* to  '用户名'@'IP'identified by '密码'。（show binlog events； show slave hosts；）

n  文件权限：grantfile  on *.* to '用户名'@'IP'identified by '密码'。（可以执行select ..into outfile和load data infile...）

n  super权限： grant super on  *.* to '用户名'@'IP'identified by '密码'。这个权限允许用户终止任何查询；修改全局变量的SET语句；使用CHANGE MASTER，PURGE MASTER LOGS。（清理三天之前的日志：purge master logs before date_sub(now(), interval 3 day); 清理到指定日期的前的日志：PURGEMASTER LOGS BEFORE '2003-04-02 22:46:26'）

n  查看/关闭数据库连接：grantsuper on*.*to '用户名'@'IP'。（show processlist）

n  显示数据库列表。show databases

n  显示数据库结构：showtables；

n  显示表结构：describe表名

n  系统用户名：selectSYSTEM_USER()

n  用户名：selectUSER()

n  当前用户名：selectcurrent_user

n  连接用户名：selectsession_user()

n  数据库名：selectdatabase()

n  数据库版本：selectversion()

n  读取本地文件：selectload_file()

n  数据库路径：select@@datadir

n  Mysql安装路径：select @@basedir

n  操作系统版本：select@@version_compile_os

n  查询时间： selectnow(); select curdate(); select curtime()