数据库权限控制
1. 如何设置数据库的权限
1、首先用管理员进入数据库级中的安全性，点击登录名，点击新建登录名。
2. 如何用phpmyadmin设置mysql数据库用户的权限
phpmyadmin设置mysql数据库用户权限可以参考如下操作步骤。
1、用浏览器打开phpmyadmin,输入用户名和密码登录。
3. 简述构成mysql权限控制步骤
1、mysql的权限是，从某处来的用户对某对象的权限。
2、mysql的权限采用白名单策略，指定用户能做什么，没有指定的都不能做。
3、权限校验分成两个步骤：
a、能不能连接，检查从哪里来，用户名和密码，常见错误 ERROR 1045 (28000): Access denied for user ...
b、能不能执行操作，粒度从粗到细，分别为：mysql.user, mysql.db, msql.tables_priv, mysql.columns_priv, mysql.proc_priv。
需要注意的是，这些表各有分工，但是在权限分配上有一定的重合。
可以这样理解，mysql 先检查对大范围是否有权限，如果没有再到小范围里去检查。比如：先检查对这个数据库是否有select权限，如果有，就允许执行。如果没有，再检查对表是否有select权限，一直到最细粒度，也没有权限，就拒绝执行。举例来说：要检查张三能否控制一个团，我只要先检查张三能否控制一个军，如果可以，就是有权限，如果不行，再检查张三能否控制一个师。因此，粒度控制越细，权限校验的步骤越多，性能越差，需要考虑。
4、mysql服务启动之后，就会把权限有关的表的数据读到内存中，对权限做的修改，是否会即时生效？要看情况，手动修改表数据，需要 flush privileges
5、创建用户 create user，修改密码 set password，注意 alter user只是设置密码过期，可以登录，但是不能执行任何操作，必须从新设置密码，删除用户 drop user
6、host+user 标示唯一的一个用户，也就是说都叫张三，从不同地方来的张三是两个用户，他们有不同的权限。
7、那么问题来了，表中有两条记录：'root'@'192.168.1.101' 和 'root'@'%', 现在root来登录，mysql 怎么匹配呢？认为是哪个root呢？
mysql 对用户进行了排序，先对host排序，再对user排序，小范围在前面，大范围在后面，从上往下匹配。
8、权限授予，grant 权限 on 对象 to 用户@哪里来 identified by 密码
9、收回权限，revoke 权限 on 对象 from 用户@哪里来，注意revoke 必须要与grant 对应，也就是说，只能收回授予的权限。
10、那么问题来了，我授予张三 select的权限，现在revoke all privileges 也不能收回张三select的权限，因为没有对张三 grant all privileges，怎么解决这个问题？
使用 revoke all privileges，grant option from user
11、权限级别：从某台主机来的某个用户，对某个数据库中某个表的某些列的某部分记录，是否有权限。
12、全局：对象是mysql服务的所有数据库，包含服务级的管理权限，比如showdown
13、数据库：对象是某一个数据库
14、表：对象是数据库中某个表
15、列：对象是表中的某个列，比如：grant select (name) on xxx to xxx
16、程序：对象是存储过程和方法。
17、information_scheme，数据库和表是存放数据的，那么谁来存放 数据库和表这些信息呢？ information_scheme 就是记录数据库和表的，需要注意的是，infromation_scheme没有对应的物理文件，它是mysql在内存中维护的。
18、权限设定原则：
a、尽量缩小权限
b、按业务，分离用户，不同的业务对应不同的用户
c、避免权限粒度太细，因为mysql权限检查，会影响性能。
19、文件泄密，linux下mysql客户端执行的操作记录在文件 ~/.mysql_history中，输出重定向/dev/null
20、密码丢失怎么办？
a、mysql启动，增加选项重置密码
b、mysql启动，增加选项不检查权限，登陆后修改密码，退出重启启动。
4. MySQL的权限有哪些
MySQL的权限有哪些
一．权限表
mysql数据库中的3个权限表：user 、db、 host
权限表的存取过程是：
1)先从user表中的host、 user、 password这3个字段中判断连接的IP、用户名、密码是否存在表中，存在则通过身份验证；
2)通过权限验证，进行权限分配时，按照useràdbàtables_privàcolumns_priv的顺序进行分配。即先检查全局权限表user，如果user中对应的权限为Y，则此用户对所有数据库的权限都为Y，将不再检查db, tables_priv,columns_priv；如果为N，则到db表中检查此用户对应的具体数据库，并得到db中为Y的权限；如果db中为N，则检查tables_priv中此数据库对应的具体表，取得表中的权限Y，以此类推。
二．MySQL各种权限（共27个）
（以下操作都是以root身份登陆进行grant授权，以p1@localhost身份登陆执行各种命令。）
1. usage
连接（登陆）权限，建立一个用户，就会自动授予其usage权限（默认授予）。
mysql> grant usage on *.* to ‘p1′@’localhost’ identified by ‘123′;
该权限只能用于数据库登陆，不能执行任何操作；且usage权限不能被回收，也即REVOKE用户并不能删除用户。
2. select
必须有select的权限，才可以使用select table
mysql> grant select on pyt.* to ‘p1′@’localhost’;
mysql> select * from shop;
3. create
必须有create的权限，才可以使用create table
mysql> grant create on pyt.* to ‘p1′@’localhost’;
4. create routine
必须具有create routine的权限，才可以使用{create |alter|drop} {procere|function}
mysql> grant create routine on pyt.* to ‘p1′@’localhost’;
当授予create routine时，自动授予EXECUTE, ALTER ROUTINE权限给它的创建者：
mysql> show grants for ‘p1′@’localhost’;
+—————————————————————————+
Grants for p1@localhost
+————————————————————————–+
| GRANT USAGE ON *.* TO ‘p1′@’localhost’ IDENTIFIED BY PASSWORD ‘*′ |
| GRANT SELECT, CREATE, CREATE ROUTINE ON `pyt`.* TO ‘p1′@’localhost’|
| GRANT EXECUTE, ALTER ROUTINE ON PROCEDURE `pyt`.`pro_shop1` TO ‘p1′@’localhost’ |
+————————————————————————————-+
5. create temporary tables(注意这里是tables，不是table)
必须有create temporary tables的权限，才可以使用create temporary tables.
mysql> grant create temporary tables on pyt.* to ‘p1′@’localhost’;
[mysql@mydev ~]$ mysql -h localhost -u p1 -p pyt
mysql> create temporary table tt1(id int);
6. create view
必须有create view的权限，才可以使用create view
mysql> grant create view on pyt.* to ‘p1′@’localhost’;
mysql> create view v_shop as select price from shop;
7. create user
要使用CREATE USER，必须拥有mysql数据库的全局CREATE USER权限，或拥有INSERT权限。
mysql> grant create user on *.* to ‘p1′@’localhost’;
或：mysql> grant insert on *.* to p1@localhost;
8. insert
必须有insert的权限，才可以使用insert into ….. values….
9. alter
必须有alter的权限，才可以使用alter table
alter table shop modify dealer char(15);
10. alter routine
必须具有alter routine的权限，才可以使用{alter |drop} {procere|function}
mysql>grant alter routine on pyt.* to ‘p1′@’ localhost ‘;
mysql> drop procere pro_shop;
Query OK, 0 rows affected (0.00 sec)
mysql> revoke alter routine on pyt.* from ‘p1′@’localhost’;
[mysql@mydev ~]$ mysql -h localhost -u p1 -p pyt
mysql> drop procere pro_shop;
ERROR 1370 (42000): alter routine command denied to user ‘p1′@’localhost’ for routine ‘pyt.pro_shop’
11. update
必须有update的权限，才可以使用update table
mysql> update shop set price=3.5 where article=0001 and dealer=’A';
12. delete
必须有delete的权限，才可以使用delete from ….where….(删除表中的记录)
13. drop
必须有drop的权限，才可以使用drop database db_name; drop table tab_name;
drop view vi_name; drop index in_name;
14. show database
通过show database只能看到你拥有的某些权限的数据库，除非你拥有全局SHOW DATABASES权限。
对于p1@localhost用户来说，没有对mysql数据库的权限，所以以此身份登陆查询时，无法看到mysql数据库：
mysql> show databases;
+——————–+
| Database |
+——————–+
| information_schema|
| pyt |
| test |
+——————–+
15. show view
必须拥有show view权限，才能执行show create view。
mysql> grant show view on pyt.* to p1@localhost;
mysql> show create view v_shop;
16. index
必须拥有index权限，才能执行[create |drop] index
mysql> grant index on pyt.* to p1@localhost;
mysql> create index ix_shop on shop(article);
mysql> drop index ix_shop on shop;
17. excute
执行存在的Functions,Proceres
mysql> call pro_shop1(0001,@a)；
+———+
| article |
+———+
| 0001 |
| 0001 |
+———+
mysql> select @a;
+——+
| @a |
+——+
| 2 |
+——+
18. lock tables
必须拥有lock tables权限，才可以使用lock tables
mysql> grant lock tables on pyt.* to p1@localhost;
mysql> lock tables a1 read;
mysql> unlock tables;
19. references
有了REFERENCES权限，用户就可以将其它表的一个字段作为某一个表的外键约束。
20. reload
必须拥有reload权限，才可以执行flush [tables | logs | privileges]
mysql> grant reload on pyt.* to p1@localhost;
ERROR 1221 (HY000): Incorrect usage of DB GRANT and GLOBAL PRIVILEGES
mysql> grant reload on *.* to ‘p1′@’localhost’;
Query OK, 0 rows affected (0.00 sec)
mysql> flush tables;
21. replication client
拥有此权限可以查询master server、slave server状态。
mysql> show master status;
ERROR 1227 (42000): Access denied; you need the SUPER,REPLICATION CLIENT privilege for this operation
mysql> grant Replication client on *.* to p1@localhost;
或：mysql> grant super on *.* to p1@localhost;
mysql> show master status;
+——————+———-+————–+——————+
| File | Position | Binlog_Do_DB | Binlog_Ignore_DB |
+——————+———-+————–+——————+
| mysql-bin.000006 | 2111 | | |
+——————+———-+————–+——————+
mysql> show slave status;
22. replication slave
拥有此权限可以查看从服务器，从主服务器读取二进制日志。
mysql> show slave hosts;
ERROR 1227 (42000): Access denied; you need the REPLICATION SLAVE privilege for this operation
mysql> show binlog events;
ERROR 1227 (42000): Access denied; you need the REPLICATION SLAVE privilege for this operation
mysql> grant replication slave on *.* to p1@localhost;
mysql> show slave hosts;
Empty set (0.00 sec)
mysql>show binlog events;
+—————+——-+—————-+———–+————-+————–+
| Log_name | Pos | Event_type | Server_id| End_log_pos|Info | +—————+——-+————–+———–+————-+—————+
| mysql-bin.000005 | 4 | Format_desc | 1 | 98 | Server ver: 5.0.77-log, Binlog ver: 4 | |mysql-bin.000005|98|Query|1|197|use `mysql`; create table a1(i int)engine=myisam|
……………………………………
23. Shutdown
关闭MySQL：
[mysql@mydev ~]$ mysqladmin shutdown
重新连接：
[mysql@mydev ~]$ mysql
ERROR 2002 (HY000): Can’t connect to local MySQL server through socket ‘/tmp/mysql.sock’ (2)
[mysql@mydev ~]$ cd /u01/mysql/bin
[mysql@mydev bin]$ ./mysqld_safe &
[mysql@mydev bin]$ mysql
24. grant option
拥有grant option，就可以将自己拥有的权限授予其他用户（仅限于自己已经拥有的权限）
mysql> grant Grant option on pyt.* to p1@localhost;
mysql> grant select on pyt.* to p2@localhost;
25. file
拥有file权限才可以执行 select ..into outfile和load data infile…操作，但是不要把file, process, super权限授予管理员以外的账号，这样存在严重的安全隐患。
mysql> grant file on *.* to p1@localhost;
mysql> load data infile ‘/home/mysql/pet.txt’ into table pet;
26. super
这个权限允许用户终止任何查询；修改全局变量的SET语句；使用CHANGE MASTER，PURGE MASTER LOGS。
mysql> grant super on *.* to p1@localhost;
mysql> purge master logs before ‘mysql-bin.000006′;
27. process
通过这个权限，用户可以执行SHOW PROCESSLIST和KILL命令。默认情况下，每个用户都可以执行SHOW PROCESSLIST命令，但是只能查询本用户的进程。
mysql> show processlist;
+—-+——+———–+——+———+——+——-+——————+
| Id | User | Host | db | Command | Time | State | Info |
+—-+——+———–+——+———+——+——-+——————+
| 12 | p1 | localhost | pyt | Query | 0 | NULL | show processlist |
+—-+——+———–+——+———+——+——-+——————+
另外，
管理权限（如 super， process， file等）不能够指定某个数据库，on后面必须跟*.*
mysql> grant super on pyt.* to p1@localhost;
ERROR 1221 (HY000): Incorrect usage of DB GRANT and GLOBAL PRIVILEGES
mysql> grant super on *.* to p1@localhost;
Query OK, 0 rows affected (0.01 sec)
5. 如何设置数据库的权限
一、必要性 随着近年来数据库技术的深入发展，以Unix平台为代表的Informix Dynamic Server和以NT平台为代表的MS SQL Server得到了广泛的应用。在一个公共的环境中，存在大量的用户操作，有数据库管理员，主要做数据管理维护工作，也有普通用户，做一定授权下的数据修改和数据查询。我们知道，每个数据库服务器上可建立多个不同类别的数据库，而每个数据库中也可以生成多个存储过程、表、视图等。如何保证数据的安全可靠，防止非法存取所造成的破坏和数据泄露，如何进行权限的划分和设置，这是安全管理的重点，也是数据库可靠运行的保证。本文以Informix Dynamic Server为例做详细说明。 二、权限的划分 Informix Dynamic Server使用了三级权限来保证数据的安全性，它们分别是数据库级权限、表级权限和字段级权限，具体为： 1．数据库级权限 包括Connect、Resource、DBA三种类别，其中： Connect： 最低级，仅允许用户访问数据库中的表和索引，但不能创建和删除它们； Resource: 建立在Connect之上，允许用户在数据库中创建、删除表和索引； DBA： 即数据库管理员，拥有数据库管理的全部权限，包括访问数据库表、创建和删除索引、修改表结构、授予数据库权限给其他用户等。 2．表/字段（视图）级权限 指允许进行何种具体操作，主要包括： Select: 从表或字段中检索信息； Update: 修改指定字段的值； Insert: 向数据库表中添加记录； Delete: 从数据库表中删除记录； Index: 为一个数据库表创建索引； Alter: 增加、删除数据库表中的字段，或修改字段的数据类型； All: 以上所有权限。 三、权限的设置 Informix Dynamic Server通过一系列SQL控制语句来实施对用户权限的设置，使得不同的用户只能在各自限定的范围内存取数据。以下命令格式中Grant表示授予权限，Revoke表示撤消权限，User-List指用户名列表，多个用户以逗号（，）分隔，对大多数数据库系统而言，PUBLIC代表所有用户。 1．对于数据库，其格式为： Revoke { DBA | Resource | Connect } from { PUBLIC | User-List } Revoke { DBA | Resource | Connect } from { PUBLIC | User-List } 缺省情况下，建立数据库的用户就是数据库管理员（DBA），除其本身和Informix用户外，其它用户不对该数据库拥有任何权限，因此也就不能进行任何形式的访问。数据库管理员可根据其他用户的业务分工、操作范围授予或撤消DBA、Resource、Connect三种不同的权限。 2．对于表及视图，其格式为： Revoke TAB-PRI on [ tab_name | view_name ] from { PUBLIC | User-List } Revoke TAB-PRI on [ tab_name | view_name ] from { PUBLIC | User-List } 其中TAB_PRI表示select、update、delete等操作权限，tab_name、 view_name分别代表数据库表名和视图名。 缺省情况下，新建的数据库表和视图对能够访问该数据库的用户赋予了除alter外的所有权限，有时这是比较危险的，比如对普通查询用户，应该有针对性地对权限重新定义。此外，对一些重要的表或视图，为防止敏感信息泄露，也应该重新授权。具体做法是：先用Revoke命令撤消原来所有的权限，再用Grant授予新的权限。 3．对于字段： 字段级权限的授予和撤消同表级的命令方式基本一致，所不同的仅在于必须把赋予权限的字段名列在操作权限如select、insert、update等之后，通过这样细化可以实施更有效的数据保护。 4．对于存储过程： 存储过程由SQL语句编写，存放于数据库中，常与触发器配合，可以对数据进行批量处理，使用非常方便。但如果授权不严格，将导致非法修改现有数据。其权限设置格式为： Grant Execute on proc_name to { PUBLIC | User-List }； Revoke Execute on proc_name from { PUBLIC | User-List } 其中proc_name表示存储过程名。 四、角色(role)的使用 在数据库用户的管理中，我们可以根据用户对数据库数据的需要情况把用户分为几组，每一组用户可以作为一个"角色"，每个用户就是角色的成员。通过使用角色，数据库系统更容易进行安全性管理，因为一旦某个用户属于某一个角色，对权限的授予和撤消只需针对角色便可。具体使用方法为： 1．创建角色： Create Role role_name1 其中role_name1表示角色名。 2．划分用户角色： 即将相关用户加入到角色中使之成为角色的成员。 Grant role_name1 to { User-List | Role_List } 其中Role_List表示角色列表，因为一个角色可以是另外一个或一组角色的成员。 3．授权角色权限： 同授权用户权限的方法相同，但只能对表级和字段级权限有效，不能授予数据库级权限给一个角色。 4．激活角色： 执行以下语句，使以上定义的角色成为可用状态： Set Role role_name1 五、结束语 以Internet技术为代表的网络业务的迅猛增长为数据库应用开辟了新的发展空间，同时也对数据库的安全性管理提出了更高的要求，网络的开放性导致非法存取常有发生，因而深刻领会和理解数据库权限的具体设置方法，结合自身实际应用，制定出一套完整的安全保护策略具有重要意义。Informix Dynamic Server对以上控制语句的使用除角色外，严格执行SQL ANSI 标准，因此对建立在NT平台上的MS SQL Server同样有效 &.мo.О旒 2007-12-19 17:29 您觉得这个答案好不好？ 好(0)不好(0) 相关问题 数据库的访问权限都有什么 怎么修改数据库的用户权限！ 数据库是如何安装和设置的? 数据库连接设置 固定服务器角色、固定数据库角色各有哪几类？有什么权限？ 标签：数据库 权限 设置 其他答案 如果是ORACLE数据库,这样可以分配权限: GRANT SELECT ON SALARIES TO JACK 给SALARIES中JACK用户的Connect角色赋予SELECT权限 例如：创建一张表和两个用户分给他们不同的角色和权限 CREATE TABLE SALARIES ( 2 NAME CHAR(30), 3 SALARY NUMBER, 4 AGE NUMBER); create user Jack identified by Jack create user Jill identified by Jill grant connect to Jack grant resource to Jill JILL 的角色为Resource你允许他对表进行选择和插入或严格一些允许JILL修改SALARIES表中SALARY字段的值 GRANT SELECT, UPDATE(SALARY) ON SALARIES TO Jill 执行：UPDATE Bryan.SALARIES SET SALARY = 35000 WHERE NAME = 'JOHN' 可以进行所有权限范围内的更新工作 使用表时的限制：SELECT * FROM Bryan.SALARIES 对表使用用户名来加以标识