程序師世界是廣大編程愛好者互助、分享、學習的平台,程序師世界有你更精彩!
首頁
編程語言
C語言|JAVA編程
Python編程
網頁編程
ASP編程|PHP編程
JSP編程
數據庫知識
MYSQL數據庫|SqlServer數據庫
Oracle數據庫|DB2數據庫
 程式師世界 >> 數據庫知識 >> MYSQL數據庫 >> 關於MYSQL數據庫 >> MySQL安全性指南(3)

MySQL安全性指南(3)

編輯:關於MYSQL數據庫

2.4 不用GRANT設置用戶

如果你有一個早於3.22.11的MySQL版本,你不能使用GRANT(或REVOKE)語句設置用戶及其訪問權限,但你可以直接修改授權表的內容。如果你理解GRANT語句如何修改授權表,這很容易。那麼你通過手工發出INSERT語句就能自己做同樣的事情。

當你發出一條GRANT語句時,你指定一個用戶名和主機名,可能還有口令。對該用戶生成一個user表記錄,並且這些值記錄在User、Host和Password列中。如果你在GRANT語句中指定全局權限,這些權限記錄在記錄的權限列中。其中要留神的是GRANT語句為你加密口令,而INSERT不是,你需要在INSERT中使用PASSWord()函數加密口令。

如果你指定數據庫級權限,用戶名和主機名被記錄在db表的User和Host列。你為其授權的數據庫記錄在Db列中,你授予的權限記錄在權限列中。

對於表級和列級權限,效果是類似的。在tables_priv和columns_priv表中創建記錄以記錄用戶名、主機名和數據庫,還有相關的表和列。授予的權限記錄在權限列中。

如果你還記得前面的介紹,你應該能即使不用GRANT語句也能做GRANT做的事情。記住在你直接修改授權表時,你將通知服務器重載授權表,否則他不知道你的改變。你可以執行一個mysqladmin flush-privileges或MySQLadmin reload命令強迫一個重載。如果你忘記做這個,你會疑惑為什麼服務器不做你想做的事情。

下列GRANT語句創建一個擁有所有權的超級用戶。包括授權給別人的能力:

GRANT ALL ON *.* TO anyname@localhost IDENTIFIED BY "passwd"
WITH GRANT OPTION

該語句將在user表中為anyname@localhost創建一個記錄,打開所有權限,因為這裡是超級用戶(全局)權限存儲的地方,要用INSERT語句做同樣的事情,語句是:

INSERT INTO user VALUES("localhost","anyname",PASSWord("passwd"),
"Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y")

你可能發現它不工作,這要看你的MySQL版本。授權表的結構已經改變而且你在你的user表可能沒有14個權限列。用SHOW COLUMNS找出你的授權表包含的每個權限列,相應地調整你的INSERT語句。 下列GRANT語句也創建一個擁有超級用戶身份的用戶,但是只有一個單個的權限:

GRANT RELOAD ON *.* TO flush@localhost IDENTIFIED BY "flushpass"

本例的INSERT語句比前一個簡單,它很容易列出列名並只指定一個權限列。所有其它列將設置為缺省的"N":

INSERT INTO user (Host,Password,Reload) VALUES("localhost","flush",
PASSWord("flushpass"),"Y")

數據庫級權限用一個ON db_name.*子句而不是ON *.*進行授權:

GRANT ALL ON sample.* TO boris@localhost IDENTIFIED BY "ruby"

這些權限不是全局的,所以它們不存儲在user表中,我們仍然需要在user表中創建一條記錄(使得用戶能連接),但我們也需要創建一個db表記錄記錄數據庫集權限:

INSERT INTO user (Host,User,Password) VALUES("localhost","boris",PASSWord("ruby")) 
INSERT INTO db VALUES("localhost","sample_db","boris","Y","Y","Y","Y","Y","Y","N","Y","Y","Y")

"N"列是為GRANT權限;對末尾的一個數據庫級具有WITH GRANT OPTION的GRANT語句,你要設置該列為"Y"。

要設置表級或列級權限,你對tables_priv或columns_priv使用INSERT語句。當然,如果你沒有GRANT語句,你將沒有這些表,因為它們在MySQL中同時出現。如果你確實有這些表並且為了某些原因想要手工操作它們,要知道你不能用單獨的列啟用權限。

你設置tables_priv.Table_priv或columns_priv.Column_priv列來設置包含你想啟用的權限值。例如,要對一個表啟用SELECT和INSERT權限,你要在相關的tables_priv的記錄中設置Table_priv為"Select,Insert"。

如果你想對一個擁有MySQL賬號的用戶修改權限,使用UPDATE而不是INSERT,不管你增加或撤銷權限都是這樣。要完全刪除一個用戶,從用戶使用的每個表中刪除記錄。

如果你願意避免發一個查詢來直接修改全權表,你可以看一下MySQL自帶的mysqlAccess和MySQL_setpermissions腳本。

附錄1 小測驗

在你剛剛新安裝了一個MySQL服務器,在你增加了一個允許連接MySQL的用戶,用下列語句:

GRANT ALL ON samp_db.* TO fred@*.snake.Net IDENTIFIED "cocoa"

而fred碰巧在服務器主機上有個賬號,所以他試圖連接服務器:

%MySQL -u fred -pcocoa samp_db
ERROR 1045: Access denIEd for user: 'fred@localhost' (Using passWord: YES)

為什麼?

原因是:

先考慮一下mysql_install_db如何建立初始權限表和服務器如何使用user表記錄匹配客戶連接。在你用MySQL_install_db初始化你的數據庫時,它創建類似這樣的user表:

Host User 
localhost
pit.snake.net
localhost
pit.snake.Net root
root

頭兩個記錄允許root指定localhost或主機名連接本地服務器,後兩個允許匿名用戶從本地連接。當增加fred用戶後,

Host User 
localhost
pit.snake.net
localhost
pit.snake.net
%.snake.Net root
root
fred

在服務器啟動時,它讀取記錄並排序它們(首先按主機,然後按主機上的用戶),越具體越排在前面:

Host User 
localhost
localhost
pit.snake.net
pit.snake.net
%.snake.Net root
root
fred

有localhost的兩個記錄排在一起,而對root的記錄排在第一,因為它比空值更具體。pit.snake.Net的記錄也類似。所有這些均是沒有任何通配符的字面上的Host值,所以它們排在對fred記錄的前面,特別是匿名用戶排在fred之前。

結果是在fred試圖從localhost連接時,Host列中的一個空用戶名的記錄在包含%.snake.Net的記錄前匹配。該記錄的口令是空的,因為缺省的匿名用戶沒有口令。因為在fred連接時指定了一個口令,由一個錯配且連接失敗。

這裡要記住的是,雖然用通配符指定用戶可以從其連接的主機是很方便。但你從本地主機連接時會有問題,只要你在table表中保留匿名用戶記錄。

一般地,建議你刪除匿名用戶記錄:

MySQL> DELETE FROM user WHERE User="";

更進一步,同時刪除其他授權表中的任何匿名用戶,有User列的表有db、tables_priv和columns_priv。

附錄2 使一個新的MySQL安裝更安全

在你自己安裝了一個新的MySQL服務器後,你需要為MySQL的root用戶指定一個目錄(缺省無口令),否則如果你忘記這點,你將你的MySQL處於極不安全的狀態(至少在一段時間內)。

在Unix(Linux)上,在按照手冊的指令安裝好MySQL後,你必須運行mysql_install_db腳本建立包含授權表的mysql數據庫和初始權限。在Windows上,運行分發中的Setup程序初始化數據目錄和MySQL數據庫。假定服務器也在運行。

當你第一次在機器上安裝MySQL時,MySQL數據庫中的授權表是這樣初始化的:

你可以從本地主機(localhost)上以root連接而不指定口令。root用戶擁有所有權限(包括管理權限)並可做任何事情。(順便說明,MySQL超級用戶與Unix超級用戶有相同的名字,他們彼此毫無關系。)

匿名訪問被授予用戶可從本地連接名為test和任何名字以test_開始的數據庫。匿名用戶可對數據庫做任何事情,但無管理權限。

從本地主機多服務器的連接是允許的,不管連接的用戶使用一個localhost主機名或真實主機名。如:

% mysql -h localhost test
% MySQL -h pit.snake.Net test

你以root連接MySQL甚至不指定口令的事實只是意味著初始安裝不安全,所以作為管理員的你首先要做的應該是設置root口令,然後根據你設置口令使用的方法,你也可以告訴服務器重載授權表是它知道這個改變。(在服務器啟動時,它重載表到內存中而可能不知道你已經修改了它們。)

對MySQL 3.22和以上版本,你可以用MySQLadmin設置口令:

% MySQLadmin -u root password yourpassWord

對於MySQL的任何版本,你可以用mysql程序並直接修改MySQL數據庫中的user授權表:

% mysql -u root mysql
MySQL>UPDATE user SET password=PASSWORD("yourpassWord") WHERE User="root";

如果你有MySQL的老版本,使用MySQL和UPDATE。

在你設置完口令後,通過運行下列命令檢查你是否需要告訴服務器重載授權表:

% MySQLadmin -u root status

如果服務器仍然讓你以root而不指定口令而連接服務器,重載授權表:

% MySQLadmin -u root reload

在你設置了root的口令後(並且如果需要重載了授權表),你將需要在任何時候以root連接服務器時指定口令。

  1. 上一頁:
  2. 下一頁:
Copyright © 程式師世界 All Rights Reserved