您现在正在浏览：站长之家 >> 数据库 >> 详细内容

My SQL安全性指南（2）

时间:2007-11-09 来源:不详作者:迈克DB

如果你的全局权限不够，服务器为你在db表中寻找并将该记录中的权限加到你的全局权限中。如果结果对查询足够，服务器执行它。
如果你的全局和数据库级组合的权限不够，服务器继续查找，首先在tables_priv表，然后columns_priv表。
如果你在检查了所有表之后仍无权限，服务器拒绝你执行查询的企图。
用布尔运算的术语，授权表中的权限被服务器这样使用：

user OR tables_priv OR columns_priv

你可能疑惑为什么前面的描述只引用4个授权表，而实际上有5个。实际上服务器是这样检查访问权限：

user OR (db AND host) OR tables_priv OR columns_priv

第一个较简单的表达式是因为host表不受GRANT和REVOKE语句影响。如果你总是用GRANT和REVOKE管理用户权限，你绝不需要考虑host表。但是其工作原理你用该知道：

当服务器检查数据库级权限时，它对于客户查找db表。如果Host列是空的，它意味着“检查host表以找出哪一个主机能访问数据库”。
服务器在host表中查找有与来自db表的记录相同的Db列值。如果没有host记录匹配客户主机，则没有授予数据库级权限。如果这些记录的任何一个的确有一个匹配连接的客户主机的Host列值，db表记录和host表记录结合产生客户的数据库级权限。

织梦内容管理系统

然而，权限用一个逻辑AND（与）结合起来，这意味着除非一个给定的权限在两个表中都有，否则客户就不具备该权限。以这种方式，你可以在db表中授予一个基本的权限集，然后使用host表对特定的主机有选择地禁用它们。如你可以允许从你的域中的所有主机访问数据库，但关闭了那些在较不安全区域的主机的数据库权限。

前面的描述毫无疑问使访问检查听起来一个相当复杂的过程，特别是你以为服务器对你发出的每个查询进行权限检查，然而此过程是很快的，因为服务器其实不从授权表对每个查询查找信息，相反，它在启动时将表的内容读入内存，然后验证查询用的是内存中的副本。这大大提高了访问检查操作的性能。但有一个非常明显的副作用。如果你直接修改授权表的内容，服务器将不知道权限的改变。

例如，如果你用一条INSERT语句向user表加入一个新记录来增加一个新用户，命名在记录中的用户将不能连接服务器。这对管理员新手（有时对有经验的老手）是很困惑的事情，当时解决方法很简单：在你改变了它们之后告诉服务器重载授权表内容，你可以发一条FLUSH PRIVILEGES或执行mysqladmin flush-privileges（或如果你有一个不支持flush-privileges的老版本，用mysqladmin reload。）。

2.2.3 范围列匹配顺序

内容来自dedecms

MySQL服务器按一种特定方式排序符授权表中的记录，然后通过按序浏览记录匹配到来的连接。找到的第一个匹配决定了被使用的记录。理解MySQL使用的排序顺序很重要，特别是对user表。

当服务器读取user表内容时，它根据在Host和User列中的值排序记录，Host值起决定作用（相同的Host值排在一起，然后再根据User值排序）。然而，排序不是典序（按词排序），它只是部分是。要牢记的是字面上的词优先于模式。这意味着如果你正从client.your.net连接服务器而Host有client.your.net和%.your.net两个值，则第一个先选。类似地，%.your.net优先于%.net，然后是%。IP地址的匹配也是这样的。

总之一句话，越具体越优先。可以参见本文附录的实例。

2.3 避免授权表风险
本届介绍一些在你授权时的一些预防措施，以及不明值的选择带来的风险。一般地，你要很“吝啬”地授予超级用户权限，即不要启用user表中条目中的权限，而使用其它授权表，以将用户权限限制于数据库、表、或列。在user表中的权限允许于影响到你的服务器操作或能访问任何数据库中的任何表。

不要授予对mysql数据库的权限。一个拥有包含授权表数据库权限的用户可能会修改表以获取对其他任何数据库的权限。授予允许一个用户修改mysql数据库表的权限也实际上给了用户以一个全局GRANT权限。如果用户能直接修改表，这也等价于能够发出任何你能想象的任何GRANT语句。