一.权限表
mysql数据库中的3个权限表:user 、db、 host
权限表的存取过程是:
1)先从user表中的host、 user、 password这3个字段中判断连接的IP、用户名、密码是否存在表中,存在则通过身份验证;
2)通过权限验证,进行权限分配时,按照useràdbàtables_privàcolumns_priv的顺序进行分配。即先检查全局权限表user,如果user中对应的权限为Y,则此用户对所有数据库的权限都为Y,将不再检查db, tables_priv,columns_priv;如果为N,则到db表中检查此用户对应的具体数据库,并得到db中为Y的权限;如果db中为N,则检查tables_priv中此数据库对应的具体表,取得表中的权限Y,以此类推。
二.MySQL各种权限(共27个)
(以下 *** 作都是以root身份登陆进行grant授权,以p1@localhost身份登陆执行各种命令。)
1. usage
连接(登陆)权限,建立一个用户,就会自动授予其usage权限(默认授予)。
mysql>grant usage on *.* to ‘p1′@’localhost’ identified by ‘123′
该权限只能用于数据库登陆,不能执行任何 *** 作;且usage权限不能被回收,也即REVOKE用户并不能删除用户。
2. select
必须有select的权限,才可以使用select table
mysql>grant select on pyt.* to ‘p1′@’localhost’
mysql>select * from shop
3. create
必须有create的权限,才可以使用create table
mysql>grant create on pyt.* to ‘p1′@’localhost’
4. create routine
必须具有create routine的权限,才可以使用{create |alter|drop} {procedure|function}
mysql>grant create routine on pyt.* to ‘p1′@’localhost’
当授予create routine时,自动授予EXECUTE, ALTER ROUTINE权限给它的创建者:
mysql>show grants for ‘p1′@’localhost’
+—————————————————————————+
Grants for p1@localhost
+————————————————————————–+
| GRANT USAGE ON *.* TO ‘p1′@’localhost’ IDENTIFIED BY PASSWORD ‘*23AE809DDACAF96AF0FD78ED04B6A265E05AA257′ |
| GRANT SELECT, CREATE, CREATE ROUTINE ON `pyt`.* TO ‘p1′@’localhost’|
| GRANT EXECUTE, ALTER ROUTINE ON PROCEDURE `pyt`.`pro_shop1` TO ‘p1′@’localhost’ |
+————————————————————————————-+
5. create temporary tables(注意这里是tables,不是table)
必须有create temporary tables的权限,才可以使用create temporary tables.
mysql>grant create temporary tables on pyt.* to ‘p1′@’localhost’
[mysql@mydev ~]$ mysql -h localhost -u p1 -p pyt
mysql>create temporary table tt1(id int)
6. create view
必须有create view的权限,才可以使用create view
mysql>grant create view on pyt.* to ‘p1′@’localhost’
mysql>create view v_shop as select price from shop
7. create user
要使用CREATE USER,必须拥有mysql数据库的全局CREATE USER权限,或拥有INSERT权限。
mysql>grant create user on *.* to ‘p1′@’localhost’
或:mysql>grant insert on *.* to p1@localhost
8. insert
必须有insert的权限,才可以使用insert into ….. values….
9. alter
必须有alter的权限,才可以使用alter table
alter table shop modify dealer char(15)
10. alter routine
必须具有alter routine的权限,才可以使用{alter |drop} {procedure|function}
mysql>grant alter routine on pyt.* to ‘p1′@’ localhost ‘
mysql>drop procedure pro_shop
Query OK, 0 rows affected (0.00 sec)
mysql>revoke alter routine on pyt.* from ‘p1′@’localhost’
[mysql@mydev ~]$ mysql -h localhost -u p1 -p pyt
mysql>drop procedure pro_shop
ERROR 1370 (42000): alter routine command denied to user ‘p1′@’localhost’ for routine ‘pyt.pro_shop’
11. update
必须有update的权限,才可以使用update table
mysql>update shop set price=3.5 where article=0001 and dealer=’A'
12. delete
必须有delete的权限,才可以使用delete from ….where….(删除表中的记录)
13. drop
必须有drop的权限,才可以使用drop database db_namedrop table tab_name
drop view vi_namedrop index in_name
14. show database
通过show database只能看到你拥有的某些权限的数据库,除非你拥有全局SHOW DATABASES权限。
对于p1@localhost用户来说,没有对mysql数据库的权限,所以以此身份登陆查询时,无法看到mysql数据库:
mysql>show databases
+——————–+
| Database |
+——————–+
| information_schema|
| pyt |
| test |
+——————–+
15. show view
必须拥有show view权限,才能执行show create view。
mysql>grant show view on pyt.* to p1@localhost
mysql>show create view v_shop
16. index
必须拥有index权限,才能执行[create |drop] index
mysql>grant index on pyt.* to p1@localhost
mysql>create index ix_shop on shop(article)
mysql>drop index ix_shop on shop
17. excute
执行存在的Functions,Procedures
mysql>call pro_shop1(0001,@a);
+———+
| article |
+———+
| 0001 |
| 0001 |
+———+
mysql>select @a
+——+
| @a |
+——+
| 2 |
+——+
18. lock tables
必须拥有lock tables权限,才可以使用lock tables
mysql>grant lock tables on pyt.* to p1@localhost
mysql>lock tables a1 read
mysql>unlock tables
19. references
有了REFERENCES权限,用户就可以将其它表的一个字段作为某一个表的外键约束。
20. reload
必须拥有reload权限,才可以执行flush [tables | logs | privileges]
mysql>grant reload on pyt.* to p1@localhost
ERROR 1221 (HY000): Incorrect usage of DB GRANT and GLOBAL PRIVILEGES
mysql>grant reload on *.* to ‘p1′@’localhost’
Query OK, 0 rows affected (0.00 sec)
mysql>flush tables
21. replication client
拥有此权限可以查询master server、slave server状态。
mysql>show master status
ERROR 1227 (42000): Access deniedyou need the SUPER,REPLICATION CLIENT privilege for this operation
mysql>grant Replication client on *.* to p1@localhost
或:mysql>grant super on *.* to p1@localhost
mysql>show master status
+——————+———-+————–+——————+
| File | Position | Binlog_Do_DB | Binlog_Ignore_DB |
+——————+———-+————–+——————+
| mysql-bin.000006 | 2111 | | |
+——————+———-+————–+——————+
mysql>show slave status
22. replication slave
拥有此权限可以查看从服务器,从主服务器读取二进制日志。
mysql>show slave hosts
ERROR 1227 (42000): Access deniedyou need the REPLICATION SLAVE privilege for this operation
mysql>show binlog events
ERROR 1227 (42000): Access deniedyou need the REPLICATION SLAVE privilege for this operation
mysql>grant replication slave on *.* to p1@localhost
mysql>show slave hosts
Empty set (0.00 sec)
mysql>show binlog events
+—————+——-+—————-+———–+————-+————–+
| Log_name | Pos | Event_type | Server_id| End_log_pos|Info | +—————+——-+————–+———–+————-+—————+
| mysql-bin.000005 | 4 | Format_desc | 1 | 98 | Server ver: 5.0.77-log, Binlog ver: 4 | |mysql-bin.000005|98|Query|1|197|use `mysql`create table a1(i int)engine=myisam|
……………………………………
23. Shutdown
关闭MySQL:
[mysql@mydev ~]$ mysqladmin shutdown
重新连接:
[mysql@mydev ~]$ mysql
ERROR 2002 (HY000): Can’t connect to local MySQL server through socket ‘/tmp/mysql.sock’ (2)
[mysql@mydev ~]$ cd /u01/mysql/bin
[mysql@mydev bin]$ ./mysqld_safe &
[mysql@mydev bin]$ mysql
24. grant option
拥有grant option,就可以将自己拥有的权限授予其他用户(仅限于自己已经拥有的权限)
mysql>grant Grant option on pyt.* to p1@localhost
mysql>grant select on pyt.* to p2@localhost
25. file
拥有file权限才可以执行 select ..into outfile和load data infile… *** 作,但是不要把file, process, super权限授予管理员以外的账号,这样存在严重的安全隐患。
mysql>grant file on *.* to p1@localhost
mysql>load data infile ‘/home/mysql/pet.txt’ into table pet
26. super
这个权限允许用户终止任何查询;修改全局变量的SET语句;使用CHANGE MASTER,PURGE MASTER LOGS。
mysql>grant super on *.* to p1@localhost
mysql>purge master logs before ‘mysql-bin.000006′
27. process
通过这个权限,用户可以执行SHOW PROCESSLIST和KILL命令。默认情况下,每个用户都可以执行SHOW PROCESSLIST命令,但是只能查询本用户的进程。
mysql>show processlist
+—-+——+———–+——+———+——+——-+——————+
| Id | User | Host | db | Command | Time | State | Info |
+—-+——+———–+——+———+——+——-+——————+
| 12 | p1 | localhost | pyt | Query | 0 | NULL | show processlist |
+—-+——+———–+——+———+——+——-+——————+
另外,
管理权限(如 super, process, file等)不能够指定某个数据库,on后面必须跟*.*
mysql>grant super on pyt.* to p1@localhost
ERROR 1221 (HY000): Incorrect usage of DB GRANT and GLOBAL PRIVILEGES
mysql>grant super on *.* to p1@localhost
Query OK, 0 rows affected (0.01 sec)
那是因为你这个数据库里面有个delete 的触发器,trigger 是用admin定义的,解决办法;
1, 删除这个触发器
2,增加admin@localhost用户
2或1任取一个;
注意必须是admin@localhost,而不是admin@%或者admin@127.0.01这样的
角色一直存在各个数据库中,比如 SQL Server、Oracle 等,MySQL 自从版本 8.0 release,引入了角色这个概念。
角色的概念
角色就是一组针对各种数据库权限的集合。比如,把一个角色分配给一个用户,那这个用户就拥有了这个角色包含的所有权限。一个角色可以分配给多个用户,另外一个用户也可以拥有多个角色,两者是多对多的关系。不过 MySQL 角色目前还没有提供类似于其他数据库的系统预分配的角色。比如某些数据库的 db_owner、 db_datareader 、 db_datawriter 等等。那接下来我分几个方面,来示例说明角色的使用以及相关注意事项。
示例 1:一个完整角色的授予步骤
用管理员创建三个角色:db_owner, db_datareader, db_datawriter
mysql>create role db_owner,db_datareader,db_datawriter
Query OK, 0 rows affected (0.02 sec)
mysql>grant all on ytt_new.* to db_owner
Query OK, 0 rows affected (0.01 sec)
mysql>grant select on ytt_new.* to db_datareader
Query OK, 0 rows affected (0.01 sec)
mysql>grant insert,delete,update on ytt_new.* to db_datawriter
Query OK, 0 rows affected (0.01 sec)
创建三个普通用户,分别为 ytt1、ytt2、ytt3。mysql>create user ytt1 identified by 'ytt',ytt2 identified by 'ytt',ytt3 identified by 'ytt'Query OK, 0 rows affected (0.01 sec)分别授予这三个用户对应的角色。
-- 授权角色
mysql>grant db_owner to ytt1
Query OK, 0 rows affected (0.02 sec)
-- 激活角色
mysql>set default role db_owner to ytt1
Query OK, 0 rows affected (0.00 sec)
mysql>grant db_datareader to ytt2
Query OK, 0 rows affected (0.01 sec)
mysql>set default role db_datareader to ytt2
Query OK, 0 rows affected (0.01 sec)
mysql>grant db_datawriter to ytt3
Query OK, 0 rows affected (0.01 sec)
mysql>set default role db_datawriter to ytt3
Query OK, 0 rows affected (0.01 sec)
以上是角色授予的一套完整步骤。那上面有点非常规的地方是激活角色这个步骤。MySQL 角色在创建之初默认是没有激活的,也就是说创建角色,并且给一个用户特定的角色,这个用户其实并不能直接使用这个角色,除非激活了才可以。示例 2:一个用户可以拥有多个角色
-- 用管理员登录并且创建用户
mysql>create user ytt4 identified by 'ytt'
Query OK, 0 rows affected (0.00 sec)
-- 把之前的三个角色都分配给用户ytt4.
mysql>grant db_owner,db_datareader,db_datawriter to ytt4
Query OK, 0 rows affected (0.01 sec)
-- 激活用户ytt4的所有角色.
mysql>set default role all to ytt4
Query OK, 0 rows affected (0.02 sec)
-- ytt4 用户登录
root@ytt-pc:/var/lib/mysql# mysql -uytt4 -pytt -P3304 -hytt-pc
...
-- 查看当前角色列表
mysql>select current_role()
+--------------------------------------------------------+
| current_role() |
+--------------------------------------------------------+
| `db_datareader`@`%`,`db_datawriter`@`%`,`db_owner`@`%` |
+--------------------------------------------------------+
1 row in set (0.00 sec)
-- 简单创建一张表并且插入记录, 检索记录,完了删掉这张表
mysql>use ytt_new
Database changed
mysql>create table t11(id int)
Query OK, 0 rows affected (0.05 sec)
mysql>insert into t11 values (1)
Query OK, 1 row affected (0.02 sec)
mysql>select * from t11
+------+
| id |
+------+
| 1 |
+------+
1 row in set (0.00 sec)
mysql>drop table t11
Query OK, 0 rows affected (0.04 sec)
示例 3:用户在当前 session 里角色互换其实意思是说,用户连接到 MySQL 服务器后,可以切换当前的角色列表,比如由 db_owner 切换到 db_datareader。
-- 还是之前的用户ytt4, 切换到db_datareader
mysql>set role db_datareader
Query OK, 0 rows affected (0.00 sec)
mysql>select current_role()
+---------------------+
| current_role() |
+---------------------+
| `db_datareader`@`%` |
+---------------------+
1 row in set (0.00 sec)
-- 切换后,没有权限创建表
mysql>create table t11(id int)
ERROR 1142 (42000): CREATE command denied to user 'ytt4'@'ytt-pc' for table 't11'
-- 切换到 db_owner,恢复所有权限。
mysql>set role db_owner
Query OK, 0 rows affected (0.00 sec)
mysql>create table t11(id int)
Query OK, 0 rows affected (0.04 sec)
示例 4:关于角色的两个参数
activate_all_roles_on_login:是否在连接 MySQL 服务时自动激活角色mandatory_roles:强制所有用户默认角色-- 用管理员连接MySQL,
-- 设置默认激活角色
mysql>set global activate_all_roles_on_login=on
Query OK, 0 rows affected (0.00 sec)
-- 设置强制给所有用户赋予角色db_datareader
mysql>set global mandatory_roles='db_datareader'
Query OK, 0 rows affected (0.00 sec)
-- 创建用户ytt7.
mysql>create user ytt7
Query OK, 0 rows affected (0.01 sec)
-- 用 ytt7登录数据库
root@ytt-pc:/var/lib/mysql# mysql -uytt7 -P3304 -hytt-pc
...
mysql>show grants
+-------------------------------------------+
| Grants for ytt7@% |
+-------------------------------------------+
| GRANT USAGE ON *.* TO `ytt7`@`%` |
| GRANT SELECT ON `ytt_new`.* TO `ytt7`@`%` |
| GRANT `db_datareader`@`%` TO `ytt7`@`%` |
+-------------------------------------------+
3 rows in set (0.00 sec)
示例 5 :create role 和 create user 都有创建角色权限,两者有啥区别?
以下分别创建两个用户 ytt8、ytt9,一个给 create role,一个给 create user 权限。-- 管理员登录,创建用户ytt8,ytt9.
mysql>create user ytt8,ytt9
Query OK, 0 rows affected (0.01 sec)
mysql>grant create role on *.* to ytt8
Query OK, 0 rows affected (0.02 sec)
mysql>grant create user on *.* to ytt9
Query OK, 0 rows affected (0.01 sec)
-- 用ytt8 登录,
root@ytt-pc:/var/lib/mysql# mysql -uytt8 -P3304 -hytt-pc
...
mysql>create role db_test
Query OK, 0 rows affected (0.02 sec)
-- 可以创建角色,但是不能创建用户
mysql>create user ytt10
ERROR 1227 (42000): Access deniedyou need (at least one of) the CREATE USER privilege(s) for this operation
mysql>\q
Bye
-- 用ytt9 登录
root@ytt-pc:/var/lib/mysql# mysql -uytt9 -P3304 -hytt-pc
...
-- 角色和用户都能创建
mysql>create role db_test2
Query OK, 0 rows affected (0.02 sec)
mysql>create user ytt10
Query OK, 0 rows affected (0.01 sec)
mysql>\q
Bye
那这里其实看到 create user 包含了 create role,create user 即可以创建用户,也可以创建角色。示例 6:MySQL 用户也可以当角色来用
-- 用管理员登录,创建用户ytt11,ytt12.
mysql>create user ytt11,ytt12
Query OK, 0 rows affected (0.01 sec)
mysql>grant select on ytt_new.* to ytt11
Query OK, 0 rows affected (0.01 sec)
-- 把ytt11普通用户的权限授予给ytt12
mysql>grant ytt11 to ytt12
Query OK, 0 rows affected (0.01 sec)
-- 来查看 ytt12的权限,可以看到拥有了ytt11的权限
mysql>show grants for ytt12
+-----------------------------------+
| Grants for ytt12@% |
+-----------------------------------+
| GRANT USAGE ON *.* TO `ytt12`@`%` |
| GRANT `ytt11`@`%` TO `ytt12`@`%` |
+-----------------------------------+
2 rows in set (0.00 sec)
-- 在细化点,看看ytt12拥有哪些具体的权限
mysql>show grants for ytt12 using ytt11
+--------------------------------------------+
| Grants for ytt12@% |
+--------------------------------------------+
| GRANT USAGE ON *.* TO `ytt12`@`%` |
| GRANT SELECT ON `ytt_new`.* TO `ytt12`@`%` |
| GRANT `ytt11`@`%` TO `ytt12`@`%` |
+--------------------------------------------+
3 rows in set (0.00 sec)
示例 7:角色的撤销
角色撤销和之前权限撤销类似。要么 revoke,要么删除角色,那这个角色会从所有拥有它的用户上移除。-- 用管理员登录,移除ytt2的角色
mysql>revoke db_datareader from ytt2
Query OK, 0 rows affected (0.01 sec)
-- 删除所有角色
mysql>drop role db_owner,db_datareader,db_datawriter
Query OK, 0 rows affected (0.01 sec)
-- 对应的角色也从ytt1上移除掉了
mysql>show grants for ytt1
+----------------------------------+
| Grants for ytt1@% |
+----------------------------------+
| GRANT USAGE ON *.* TO `ytt1`@`%` |
+----------------------------------+
1 row in set (0.00 sec)
至此,我分了 7 个目录说明了角色在各个方面的使用以及注意事项,希望对大家有帮助。
欢迎分享,转载请注明来源:内存溢出
评论列表(0条)