【MySQL】验证账户权限

在用户进行验证之后，MySQL将提出以下问题验证账户权限：

1.谁是当前用户？

2.该用户有何权限？

• 管理权限比如：shutdown、replication slave、load data infile。
• 数据权限比如：select、insert、update、delete。

3.这些权限适用于何处？

• global、database、table、column、stored routine（存储例程包括存储过程和存储函数）。

grant语句

1.grant语句为mysql用户账户和角色分配权限或角色：

world数据库的所有权限授予r_viewer角色
GRANT SELECT ON world.* TO r_viewer;
world数据库的city表的更新删除权限授予kari用户 
GRANT UPDATE, DELETE ON world.city TO kari@localhost; 

grant 语句的子句包括：

• 要授予的权限:select、update、delete等。
• 权限级别：全局：*.* ；数据库：db_name.* ；表：db_name.table_name ；存储例程：db_name.routine_name。
• 被授予权限的账户或角色。

2.指定列权限：

kari有权限读取mysql.user表中的user和host列
GRANT SELECT(user,host) ON mysql.user TO kari@localhost; 

3.在同一语句中可以应用表级和列级权限：

r_updater角色可以更新world.country表中的Name列，还可以删除该表
GRANT UPDATE(Name), DELETE ON world.country TO r_updater; 

4.将角色授予mysql用户账户和其他角色时，grant语句不带ON子句：

r_viewer, r_updater角色授予r_world角色
GRANT r_viewer, r_updater TO r_world;
r_viewer, r_updater角色授予kari用户，并且kari可以将角色授予其他用户账户
GRANT r_viewer, r_updater TO kari@localhost WITH ADMIN OPTION;

5.显示自己的账户权限：show grants / show grants for current_user()；

6.显示其他用户权限：show grants for user@host；

7.显示角色的权限：show grants for 角色名；

用户权限限制

• 在指定用户权限时，采用“白名单”模式，只能指定它可以干什么，不能显式指定它不能干什么。（）
• 不能授予行级权限。

撤销账户权限

revoke语句可以从用户账户和角色中撤销权限和角色。on子句指定要撤销的级别，from子句指定账户名或角色名。在发出 revoke 之前，一定要使用 show grants 语句来确定要撤销哪些权限和角色， 之后再次确认结果是否正确。

特殊权限

usage说明符授予连接到服务器的能力。这是新帐户的默认权限级别，可以使用该帐户访问服务器用于有限的目的，例如发出SHOW VARIABLES 或SHOW STATUS。不能使用帐户访问表之类的数据库内容，但可在以后授予此类权限。

REVOKE USAGE FROM kari@localhost 

MySQL的访问控制分为两个独立层面：

连接认证层（能否登录）

• 由mysql.user表中的账户记录控制

• 检查密码、账户锁定状态、认证插件等

操作权限层（能做什么）

• 由各种权限表(tables_priv等)控制

• USAGE属于这一层

该语句撤销了kari用户的usage权限，不会阻止用户登录服务器。

激活角色权限

用户在使用被授予的角色权限之前，必须要先激活权限。

1.在服务器级别激活角色

SET PERSIST activate_all_roles_on_login = ON;

将 activate_all_roles_on_login 系统变量默认值为OFF，若设置为ON，服务器在登录时将激活授予每个账户的角色。

2.在用户级别激活

SET DEFAULT ROLE r_viewer, r_updater TO kari@localhost;
SET DEFAULT ROLE ALL TO kari@localhost, Jan@localhost;

SET DEFAULT ROLE 语句定义当用户连接到服务器时哪些角色变为活动角色.

或者，在CREATE USER 或ALTER USER 语句中使用DEFAULT ROLE 子句：

ALTER USER kari@localhost DEFAULT ROLE r_viewer, r_updater;
ALTER USER kari@localhost DEFAULT ROLE ALL;

用户级默认角色存储在 mysql.default_roles 授权表中。用户登录时会检查该表，使用记录的角色权限。

3.在会话级别激活角色

SET ROLE 语句可以修改当前会话中的活动角色列表。它接受角色列表或以下角色说明符之一：

• DEFAULT：激活帐户默认角色
• NONE：禁用所有角色
• ALL：激活授予该帐户的所有角色
• ALL EXCEPT：激活授予帐户的所有角色，但指定的角色除外。

SELECT CURRENT_ROLE() ；该函数确定当前会话中哪些角色处于活动状态。

强制性角色

强制性角色自动授予每个用户，使用 mandatory-roles 系统变量进行配置，在权限生效前自动激活，不会更改授权表，不能使用revoke、drop role 或 drop user 语句撤销或删除。

服务启动时读取 mandatory-roles ，优先于授权表加载这些角色，将强制角色权限注入运行时环境，最后加载常规授权表内容。

SET PERSIST mandatory_roles = '`role1`@`%`,role2,role3@localhost';

授权表

MySQL 服务器在启动时将授权表从mysql 数据库读取到内存中，并使所有访问控制决策都以这些表为依据。

主要授权表清单

• 避免直接在授权表中修改用户帐户，直接更改授权表时犯错，则可能会将所有用户锁在系统外面，如果直接修改了授权表，应通过发出 FLUSH PRIVILEGES 语句显式重新装入授权表。
• 帐户修改语句（如GRANT、REVOKE、SET PASSWORD 和RENAME USER）会将更改同时应用于授权表及其内存中表。
• 对全局权限和口令的更改仅应用于该帐户的后续连接。
• 对数据库级别权限的更改在客户机的下一此使用 USE db_name 语句后应用。
• 对角色、表、列和例程权限的更改会立即应用。