MySQL之权限管理

时间 2019-11-18

标签 mysql 权限管理栏目 MySQL 繁體版

原文原文链接

MySQL权限简介html

权限简单的理解就是mysql容许权力之内的事情，不可越界。好比只容许执行select操做，那么就不能执行update操做。只容许从某台机器上链接mysql，那么就不能从除那台机器之外的其余机器链接mysql。mysql

那么Mysql的权限是如何实现的呢？这就要说到mysql的两阶段验证，下面详细介绍：sql

第一阶段：服务器首先会检查是否容许链接。由于建立用户的时候会加上主机限制，能够限制成本地、某个IP、某个IP段、以及任何地方等，只容许从配置的指定地方登录。数据库

第二阶段：若是能链接，Mysql会检查发出的每一个请求，看是否有足够的权限实施它。好比要更新某个表、或者查询某个表，Mysql会查看对哪一个表或者某个列是否有权限。再好比，要运行某个存储过程，Mysql会检查对存储过程是否有执行权限等。apache

一、GRANT命令使用说明：服务器

先来看一个例子，建立一个只容许从本地登陆的超级用户jack，并容许将权限赋予别的用户，密码为：jack.并发

mysql> grant all privileges on *.* to jack@'localhost' identified by "jack" with grant option; Query OK, 0 rows affected (0.01 sec)

GRANT命令说明：
ALL PRIVILEGES 是表示全部权限，也可使用select、update等权限。app

ON 用来指定权限针对哪些库和表。socket

*.* 中前面的*号用来指定数据库名，后面的*号用来指定表名。ide

TO 表示将权限赋予某个用户。

jack@'localhost' 表示jack用户，@后面接限制的主机，能够是IP、IP段、域名以及%，%表示任何地方。注意：这里%有的版本不包括本地，之前碰到过给某个用户设置了%容许任何地方登陆，可是在本地登陆不了，这个和版本有关系，遇到这个问题再加一个localhost的用户就能够了。

IDENTIFIED BY 指定用户的登陆密码。

WITH GRANT OPTION 这个选项表示该用户能够将本身拥有的权限受权给别人。注意：常常有人在建立操做用户的时候不指定WITH GRANT OPTION选项致使后来该用户不能使用GRANT命令建立用户或者给其它用户受权。

备注：可使用GRANT重复给用户添加权限，权限叠加，好比你先给用户添加一个select权限，而后又给用户添加一个insert权限，那么该用户就同时拥有了select和insert权限。

二、刷新权限

使用这个命令使权限生效，尤为是你对那些权限表user、db、host等作了update或者delete更新的时候。之前遇到过使用grant后权限没有更新的状况，只要对权限作了更改就使用FLUSH PRIVILEGES命令来刷新权限。

mysql> flush privileges; Query OK, 0 rows affected (0.01 sec)

三、查看权限

查看当前用户的权限：
mysql> show grants; +---------------------------------------------------------------------+ | Grants for root@localhost | +---------------------------------------------------------------------+ | GRANT ALL PRIVILEGES ON *.* TO 'root'@'localhost' WITH GRANT OPTION | | GRANT PROXY ON ''@'' TO 'root'@'localhost' WITH GRANT OPTION | +---------------------------------------------------------------------+ 2 rows in set (0.00 sec) 查看某个用户的权限： mysql> show grants for 'jack'@'%'; +-----------------------------------------------------------------------------------------------------+ | Grants for jack@% | +-----------------------------------------------------------------------------------------------------+ | GRANT USAGE ON *.* TO 'jack'@'%' IDENTIFIED BY PASSWORD '*9BCDC990E611B8D852EFAF1E3919AB6AC8C8A9F0' | +-----------------------------------------------------------------------------------------------------+ 1 row in set (0.00 sec)

四、回收权限

mysql> revoke delete on *.* from 'jack'@'localhost'; Query OK, 0 rows affected (0.01 sec)

五、删除用户

mysql> select host,user,password from user; +-----------+------+-------------------------------------------+ | host | user | password | +-----------+------+-------------------------------------------+ | localhost | root | | | rhel5.4 | root | | | 127.0.0.1 | root | | | ::1 | root | | | localhost | | | | rhel5.4 | | | | localhost | jack | *9BCDC990E611B8D852EFAF1E3919AB6AC8C8A9F0 | +-----------+------+-------------------------------------------+ 7 rows in set (0.00 sec) mysql> drop user 'jack'@'localhost'; Query OK, 0 rows affected (0.01 sec)

六、对帐户重命名

mysql> rename user 'jack'@'%' to 'jim'@'%'; Query OK, 0 rows affected (0.00 sec)

七、修改密码

  1、用set password命令 mysql> SET PASSWORD FOR 'root'@'localhost' = PASSWORD('123456'); Query OK, 0 rows affected (0.00 sec) 2、用mysqladmin [root@rhel5 ~]# mysqladmin -uroot -p123456 password 1234abcd 备注： 格式：mysqladmin -u用户名 -p旧密码 password 新密码 3、用update直接编辑user表 mysql> use mysql Reading table information for completion of table and column names You can turn off this feature to get a quicker startup with -A Database changed mysql> update user set PASSWORD = PASSWORD('1234abcd') where user = 'root'; Query OK, 1 row affected (0.01 sec) Rows matched: 1 Changed: 1 Warnings: 0 mysql> flush privileges; Query OK, 0 rows affected (0.00 sec) 4、在忘记root密码的时候： [root@rhel5 ~]# mysqld_safe --skip-grant-tables & [1] 15953 [root@rhel5 ~]# 130911 09:35:33 mysqld_safe Logging to '/mysql/mysql5.5/data/rhel5.4.err'. 130911 09:35:33 mysqld_safe Starting mysqld daemon with databases from /mysql/mysql5.5/data [root@rhel5 ~]# mysql -u root Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 2 Server version: 5.5.22 Source distribution Copyright (c) 2000, 2011, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type 'help;' or '\h' for help. Type '\c' to clear the current input statement. mysql> \s -------------- mysql Ver 14.14 Distrib 5.5.22, for Linux (i686) using EditLine wrapper Connection id: 2 Current database: Current user: root@ SSL: Not in use Current pager: stdout Using outfile: '' Using delimiter: ; Server version: 5.5.22 Source distribution Protocol version: 10 Connection: Localhost via UNIX socket Server characterset: utf8 Db characterset: utf8 Client characterset: utf8 Conn. characterset: utf8 UNIX socket: /tmp/mysql.sock Uptime: 36 sec Threads: 1 Questions: 5 Slow queries: 0 Opens: 23 Flush tables: 1 Open tables: 18 Queries per second avg: 0.138 --------------  mysql> use mysql Reading table information for completion of table and column names You can turn off this feature to get a quicker startup with -A Database changed mysql> update user set password = PASSWORD('123456') where user = 'root'; Query OK, 1 row affected (0.00 sec) Rows matched: 1 Changed: 1 Warnings: 0 mysql> flush privileges; Query OK, 0 rows affected (0.00 sec)

=======================

咱们要关注两个表，分别是在MySQL数据库中user表和db表。

user表在某种程度上是独一无二的，由于它是惟一一个在权限请求的认证和受权阶段都起做用的表，也是惟一一个存数MySQL服务器相关权限的权限表。在认证阶段，它只是负责为用户受权访问MySQL服务器，肯定用户每小时的最大链接数和最大并发数；在受权阶段，user肯定容许访问服务器的用户是否被赋予了操做数据库的全局权限，肯定用户每小时的最大查询数和更新数。

db表用于为每一个用户针对每一个数据库赋予权限。具体的能够查看db的字段。

=======================

用户管理

mysql>use mysql;

查看user

mysql> select host,user,password from user ;

建立user

mysql> create user zx_root IDENTIFIED by 'xxxxx'; //identified by 会将纯文本密码加密做为散列值存储

修改user

mysql>rename user feng to newuser；//mysql 5以后可使用，以前须要使用update 更新user表

删除user

mysql> drop user newuser; //mysql5以前删除用户时必须先使用revoke 删除用户权限，而后删除用户，mysql5以后drop 命令能够删除用户的同时删除用户的相关权限

更改user密码

mysql> set password for zx_root =password('xxxxxx');

mysql> update mysql.user set password=password('xxxx') where user='otheruser'

查看用户权限

mysql> show grants for zx_root;

赋予权限

mysql> grant select on dmc_db.* to zx_root;

回收权限

mysql> revoke select on dmc_db.* from zx_root; //若是权限不存在会报错

上面的命令也可以使用多个权限同时赋予和回收，权限之间使用逗号分隔

mysql> grant select，update，delete ，insert on dmc_db.* to zx_root;

若是想当即看到结果使用

flush privileges ;

命令更新

设置权限时必须给出一下信息

1，要授予的权限

2，被授予访问权限的数据库或表

3，用户名

grant和revoke能够在几个层次上控制访问权限

1，整个服务器，使用 grant ALL 和 revoke ALL

2，整个数据库，使用 on database.*

3，特定表，使用on database.table

4，特定的列

5，特定的存储过程

user表中host列的值的意义

% 匹配全部主机

localhost localhost不会被解析成IP地址，直接经过UNIXsocket链接

127.0.0.1 会经过TCP/IP协议链接，而且只能在本机访问；

::1 ::1就是兼容支持ipv6的，表示同ipv4的127.0.0.1

grant 普通数据用户，查询、插入、更新、删除数据库中全部表数据的权利。

grant select on testdb.* to common_user@’%’

grant insert on testdb.* to common_user@’%’

grant update on testdb.* to common_user@’%’

grant delete on testdb.* to common_user@’%’

或者，用一条 MySQL 命令来替代：

grant select, insert, update, delete on testdb.* to common_user@’%’

9>.grant 数据库开发人员，建立表、索引、视图、存储过程、函数等权限。

grant 建立、修改、删除 MySQL 数据表结构权限。

grant create on testdb.* to developer@’192.168.0.%’;

grant alter on testdb.* to developer@’192.168.0.%’;

grant drop on testdb.* to developer@’192.168.0.%’;

grant 操做 MySQL 外键权限。

grant references on testdb.* to developer@’192.168.0.%’;

grant 操做 MySQL 临时表权限。

grant create temporary tables on testdb.* to developer@’192.168.0.%’;

grant 操做 MySQL 索引权限。

grant index on testdb.* to developer@’192.168.0.%’;

grant 操做 MySQL 视图、查看视图源代码权限。

grant create view on testdb.* to developer@’192.168.0.%’;

grant show view on testdb.* to developer@’192.168.0.%’;

grant 操做 MySQL 存储过程、函数权限。

grant create routine on testdb.* to developer@’192.168.0.%’; -- now, can show procedure status

grant alter routine on testdb.* to developer@’192.168.0.%’; -- now, you can drop a procedure

grant execute on testdb.* to developer@’192.168.0.%’;

10>.grant 普通 DBA 管理某个 MySQL 数据库的权限。

grant all privileges on testdb to dba@’localhost’

其中，关键字 “privileges” 能够省略。

11>.grant 高级 DBA 管理 MySQL 中全部数据库的权限。

grant all on *.* to dba@’localhost’

12>.MySQL grant 权限，分别能够做用在多个层次上。

1. grant 做用在整个 MySQL 服务器上：

grant select on *.* to dba@localhost; -- dba 能够查询 MySQL 中全部数据库中的表。

grant all on *.* to dba@localhost; -- dba 能够管理 MySQL 中的全部数据库

2. grant 做用在单个数据库上：

grant select on testdb.* to dba@localhost; -- dba 能够查询 testdb 中的表。

3. grant 做用在单个数据表上：

grant select, insert, update, delete on testdb.orders to dba@localhost;

4. grant 做用在表中的列上：

grant select(id, se, rank) on testdb.apache_log to dba@localhost;

5. grant 做用在存储过程、函数上：

grant execute on procedure testdb.pr_add to ’dba’@’localhost’

grant execute on function testdb.fn_add to ’dba’@’localhost’

注意：修改完权限之后必定要刷新服务，或者重启服务，刷新服务用：FLUSH PRIVILEGES。
=======================

全局权限的设置语句：

1	`GRANT` `ALL` `ON` `.` `to` `'root'` `@` `'localhost'`

第一个*表明数据库名，这里是全部的数据库，第二个*表明表名。
全局权限有ALTER ALTER ROUTINE CREATE ALL CREATE ROUTINE CREATE TEMPORARY TABLES CREATE USER CREATE VIEW DELETE All DROP All EXECUTE FILE All INTO FILE INDEX All INSERT All LOCK TABLES PROCESS All RELOAD All REPLICATION CLIENT SLAVE STATUS REPLICATION SLAVE SELECT SHOW DATABASES SHOW VIEW view SHUTDOWN SUPER UPDATE USAGE

2，Database Level: 数据库级别的权限，经过databasename.* 设置权限。设置语句以下：

1	`GRANT` `ALL` `ON` `databasename.*` `to` `'root'` `@` `'localhost'`

它会被global level的权限给覆盖掉，若有两条以下的权限设置语句：

1 2	`GRANT` `SELECT` `on` `test.` `to` `'root'` `@` `'localhost'` `;` `REVOKE` `SELECT` `ON` `.*` `FROM` `'root'` `@` `'localhost'` `;`

'root'@'localhost'将再也不对test拥有select权限。
数据库权限有： CREATE USER，FILE，PROCESS，RELOAD，REPLICATION CLIENT，REPLICATION SLAVE，SHOW DATABASES，SHUTDOWN，SUPER USAGE

3，Table Level：表级别的权限能被全局权限和数据库级别权限覆盖

1 2	`GRANT` `SELECT` `ON` `test.test` `to` `'root'` `@` `'localhost'` `;` `SHOW GRANTS` `FOR` `'root'` `@` `'localhost'` `;`

能够经过use选中某个数据库，直接对table名设置权限

1	`GRANT` `SELECT` `ON` `test` `to` `'root'` `@` `'localhost'` `;`

表的权限有：ALTER，CREATE，DELETE，DROP，INDEX，INSERT，SELECT UPDATE

4，Column Level：表的某个列的权限。它会被前面三个权限给覆盖掉

1	`GRANT` `SELECT` `(id)` `ON` `test` `to` `'root'` `@` `'localhost'` `;`

字段级别的权限有INSERT，SELECT ，UPDATE

5，Routine Level：是针对函数和存储过程的权限，他会被1,2,3个权限给覆盖掉。

1	`GRANT` `EXECUTE` `ON` `test.p` `to` `'root'` `@` `'localhost'` `;`

select current_user();

select user();