mysql 权限设置

背景

在了解动态权限之前，我们先回顾下 MySQL 的权限列表。

权限列表大体分为服务级别和表级别，列级别以及大而广的角色（也是MySQL 8.0 新增）存储程序等权限。我们看到有一个特殊的 SUPER 权限，可以做好多个 *** 作。比如 SET 变量，在从机重新指定相关主机信息以及清理二进制日志等。那这里可以看到，SUPER 有点太过强大，导致了仅仅想实现子权限变得十分困难，比如用户只能 SET 变量，其他的都不想要。那么 MySQL 8.0 之前没法实现，权限的细分不够明确，容易让非法用户钻空子。

那么 MySQL 8.0 把权限细分为静态权限和动态权限，下面我画了两张详细的区分图，图 1 为静态权限，图 2 为动态权限。

图 1- MySQL 静态权限的权限管理图

图 2-动态权限图

那我们看到其实动态权限就是对 SUPER 权限的细分。 SUPER 权限在未来将会被废弃掉。

我们来看个简单的例子，

比如， 用户 'ytt2@localhost', 有 SUPER 权限。

mysql>show grants for ytt2@'localhost'+---------------------------------------------------------------------------------+| Grants for ytt2@localhost                                                       |+---------------------------------------------------------------------------------+| GRANT INSERT, UPDATE, DELETE, CREATE, ALTER, SUPER ON *.* TO ytt2@localhost |+---------------------------------------------------------------------------------+1 row in set (0.00 sec)

但是现在我只想这个用户有 SUPER 的子集，设置变量的权限。那么单独给这个用户赋予两个能设置系统变量的动态权限，完了把 SUPER 给拿掉。

mysql>grant session_variables_admin,system_variables_admin on *.* to ytt2@'localhost'Query OK, 0 rows affected (0.03 sec)mysql>revoke super on *.* from ytt2@'localhost'Query OK, 0 rows affected, 1 warning (0.02 sec)

我们看到这个 WARNINGS 提示 SUPER 已经废弃了。

mysql>show warnings

+---------+------+----------------------------------------------+

| Level   | Code | Message                                      |

+---------+------+----------------------------------------------+

| Warning | 1287 | The SUPER privilege identifier is deprecated |

+---------+------+----------------------------------------------+

1 row in set (0.00 sec)`

mysql>show grants for ytt2@'localhost'

+-----------------------------------------------------------------------------------+

| Grants for ytt2@localhost                                                         |

+-----------------------------------------------------------------------------------+

| GRANT INSERT, UPDATE, DELETE, CREATE, ALTER ON *.* TO ytt2@localhost          |

| GRANT SESSION_VARIABLES_ADMIN,SYSTEM_VARIABLES_ADMIN ON *.* TO ytt2@localhost |

+-----------------------------------------------------------------------------------+

2 rows in set (0.00 sec)

当然图 2 上还有其它的动态权限，这里就不做特别说明了。

MySQL远程访问权限，允许远程连接的开启

1、登陆mysql数据库

mysql -u root -p

查看user表 www.2cto.com

mysql>use mysql

Database changed

mysql>select host,user,password from user

+--------------+------+-------------------------------------------+

| host | user | password |

+--------------+------+-------------------------------------------+

| localhost| root | *A731AEBFB621E354CD41BAF207D884A609E81F5E |

| 192.168.1.1 | root | *A731AEBFB621E354CD41BAF207D884A609E81F5E |

+--------------+------+-------------------------------------------+

2 rows in set (0.00 sec)

可以看到在user表中已创建的root用户。host字段表示登录的主机，其值可以用IP，也可用主机名，

(1)有时想用本地IP登录，那么可以将以上的Host值改为自己的Ip即可。

2、实现远程连接(授权法)

将host字段的值改为%就表示在任何客户端机器上能以root用户登录到mysql服务器，建议在开发时设为%。

update user set host = ’%’ where user = ’root’

将权限改为ALL PRIVILEGES

mysql>use mysql

Database changed

mysql>grant all privileges on *.* to root@'%' identified by "root"

Query OK, 0 rows affected (0.00 sec) www.2cto.com

mysql>select host,user,password from user

+--------------+------+-------------------------------------------+

| host | user | password |

+--------------+------+-------------------------------------------+

| localhost| root | *A731AEBFB621E354CD41BAF207D884A609E81F5E |

| 192.168.1.1 | root | *A731AEBFB621E354CD41BAF207D884A609E81F5E |

| %| root | *A731AEBFB621E354CD41BAF207D884A609E81F5E |

+--------------+------+-------------------------------------------+

3 rows in set (0.00 sec)

这样机器就可以以用户名root密码root远程访问该机器上的MySql.

3、实现远程连接（改表法）

use mysql

update user set host = '%' where user = 'root'

这样在远端就可以通过root用户访问Mysql.

方法/步骤

1

在未配置MySQL之前，根据MySQL服务端的信息，用navicate客户端进行连接测试，如图一、图二所示

2

在MySQL所在机器上登录root用户，如图三所示

3

切换到mysql库，并查看user表，如图四所示

use mysql

select host,user,password from user

4

修改host列的用户，建议修改localhost用户，如图五所示

执行命令如下：

update user set host = '%' where host = 'localhost'

select host,user,password from user

flush privileges

5

再次用navicate客户端进行连接测试，如图六所示

END

FAQ

1

为什么只改一条呢？

因为%代表了任何ip地址均可以访问此mysql库，所以只有一条%记录即可，多条无意义，如需根据不同的ip、不同用户有不同的权限访问，可设置为多条。

2

为什么只是修改某条user记录，而不是insert一个用户呢？

因为新增的用户，相关权限是没有的，如果新纪录的各项都设置为Y，则权限过大，如果新纪录的各项都设置为N，则权限过小，远程登录之后，无法进行其他 *** 作。

---