**前言：**

不清楚各位同學對資料庫使用者許可權管理是否瞭解，作為一名 DBA ，使用者許可權管理是繞不開的一項工作內容。特別是生產庫，資料庫使用者許可權更應該規範管理。本篇文章將會介紹下 MySQL 使用者許可權管理相關內容。

#### 1.使用者許可權簡介

當我們建立過資料庫使用者後，還不能執行任何操作，需要為該使用者分配適當的訪問許可權。

關於 MySQL 使用者許可權簡單的理解就是資料庫只允許使用者做你權利以內的事情，不可以越界。比如只允許你執行 select 操作，那麼你就不能執行 update 操作。只允許你從某個 IP 上連線 MySQL ，那麼你就不能從除那個 IP 以外的其他機器連線 MySQL 。

在 MySQL 中，使用者許可權也是分級別的，可以授予的許可權有如下幾組：

- 列級別，和表中的一個具體列相關。例如，可以使用 UPDATE 語句更新表 students 中 student_name 列的值的許可權。
- 表級別，和一個具體表中的所有資料相關。例如，可以使用 SELECT 語句查詢表 students 的所有資料的許可權。
- 資料庫級別，和一個具體的資料庫中的所有表相關。例如，可以在已有的資料庫 mytest 中建立新表的許可權。
- 全域性，和 MySQL 中所有的資料庫相關。例如，可以刪除已有的資料庫或者建立一個新的資料庫的許可權。

許可權資訊儲存在 mysql 系統庫的 user、db、tables_priv、columns_priv、procs_priv 這幾個系統表中。

- user 表：存放使用者賬戶資訊以及全域性級別（所有資料庫）許可權。
- db 表：存放資料庫級別的許可權，決定了來自哪些主機的哪些使用者可以訪問此資料庫。
- tables_priv 表：存放表級別的許可權，決定了來自哪些主機的哪些使用者可以訪問資料庫的這個表。
- columns_priv 表：存放列級別的許可權，決定了來自哪些主機的哪些使用者可以訪問資料庫表的這個欄位。
- procs_priv 表：存放儲存過程和函式級別的許可權。

參考官方文件，可授予的許可權如下表所示：
![](https://img-blog.csdnimg.cn/img_convert/2f4370b0007cedc76df42f816f5d9ef3.png)
看起來各種可授予的許可權有很多，其實可以大致分為資料、結構、管理三類，大概可分類如下：

![](https://img-blog.csdnimg.cn/img_convert/6d007577fe328fe2fe7fc41bfd3ac5c3.png)

#### 2.許可權管理實戰

我們一般用 grant 語句為資料庫使用者賦權，建議大家先用 create user 語句建立好使用者之後再單獨進行授權。下面透過示例來具體看下：

```sql
# 建立使用者
create user 'test_user'@'%' identified by 'xxxxxxxx';

# 全域性許可權
GRANT super,select on *.* to 'test_user'@'%';

# 庫許可權
GRANT select,insert,update,delete,create,alter,execute on `testdb`.* to 'test_user'@'%';

# 表許可權
GRANT select,insert on `testdb`.tb to 'test_user'@'%';

# 列許可權
GRANT select (col1), insert (col1, col2) ON `testdb`.mytbl to 'test_user'@'%';

# GRANT命令說明：
super,select 表示具體要授予的許可權。
ON 用來指定許可權針對哪些庫和表。
*.* 中前面的*號用來指定資料庫名，後面的*號用來指定表名。
TO 表示將許可權賦予某個使用者。
'test_user'@'%' 表示test_user使用者，@後面接限制的主機，可以是IP、IP段、域名以及%，%表示任何地方。

# 重新整理許可權
flush privileges;

# 檢視某個使用者的許可權
show grants for 'test_user'@'%';

# 回收許可權
revoke delete on `testdb`.* from 'test_user'@'%';
```

許可權管理是一件不容忽視的事，我們不能為了方便而給資料庫使用者很大的許可權。特別是對於生產庫，更應該進行許可權管控，建議程式使用者只賦予增刪改查等基礎許可權，個人使用者只賦予查詢許可權。

出於安全考慮，建議遵循以下幾個經驗原則：

- 只授予能滿足需要的最小許可權，防止使用者幹壞事。比如使用者只是需要查詢，那就只給 select 許可權就可以了。
- 建立使用者的時候限制使用者的登入主機，一般是限制成指定 IP 或者內網 IP 段。
- 給各個服務單獨建立資料庫使用者，單個使用者最好只能操作單個庫。
- 及時記錄各資料庫使用者許可權等資訊，以免忘記。
- 若有外部系統呼叫，應配置只讀使用者，並且許可權要精確到表或檢視。
- 定期清理不需要的使用者，回收許可權或者刪除使用者。

**參考：**

- [https://dev.mysql.com/doc/refman/5.7/en/privileges-provided.html](https://dev.mysql.com/doc/refman/5.7/en/privileges-provided.html)
- [https://www.cnblogs.com/richardzhu/p/3318595.html](https://www.cnblogs.com/richardzhu/p/3318595.html)

MySQL許可權管理實戰

相關文章