第六章安全

使用MySQL在计算机连接到互联网的人都应该阅读这部分避免最常见的安全错误。

在讨论安全，有必要充分考虑保护整个服务器主机（不只是MySQL服务器）对所有类型的应用攻击：窃听、篡改，回放，和拒绝服务。我们没有涵盖所有方面的可用性和容错能力在这里。

MySQL采用基于访问控制列表（ACL）安全的所有连接，查询等操作，用户可以尝试执行。也有SSL加密连接MySQL客户端和服务器之间的支持。许多的概念在这里讨论的是不特定的MySQL的所有；相同的一般思路适用于几乎所有的应用程序。

当运行MySQL，遵循这些指导方针：

在几种情况下发生在mysql密码。以下部分提供了指导方针，使最终用户和管理员把这些密码安全，避免暴露他们。此外，该validate_password插件可以用来执行一个可接受的密码策略。看到第6.5.3，“密码验证组件”

CREATE USER ... IDENTIFIED BY ...
ALTER USER ... IDENTIFIED BY ...
SET PASSWORD ...
SLAVE START ... PASSWORD = ...
CREATE SERVER ... OPTIONS(... PASSWORD ...)
ALTER SERVER ... OPTIONS(... PASSWORD ...)

当你连接到MySQL服务器，你应该使用一个密码。密码是没有连接上的明文传输。

所有其他的信息转换为文本，并可以由任何人能够观看连接阅读。如果客户端和服务器通过一个不受信任的网络之间的连接，以及你对这方面的关注，你可以使用压缩协议使交通更难以破译。你也可以使用MySQL的内部SSL的支持使连接更加安全。看到6.4节，“使用加密的连接”。另外，使用ssh来得到一个加密的TCP / IP的MySQL服务器和客户端之间的连接。你可以找到一个开源的SSH客户端www.openssh.org http：/ / /，和开源和商业SSH客户比较http：／／／wiki／比较产生的_ of _ _ SSH客户端

做一个MySQL数据库系统的安全，你应该考虑以下建议：

下表显示mysqld选项和系统变量影响安全。对于这些描述，看到第5.1.6、“服务器选项”，和第5.1.7，服务器“系统变量”

在Windows上，你可以运行服务器作为Windows服务使用普通用户帐户。

在Linux中，安装使用MySQL存储库或RPM包，MySQL服务器mysqld应该由当地开始mysql操作系统用户。另一个操作系统的用户开始是不被包含在MySQL库的初始化脚本支持。

在UNIX或Linux的安装使用的是（tar.gz包），MySQL服务器mysqld可以启动和运行任何用户。然而，你应该避免运行服务器的Unixroot出于安全原因，用户。改变mysqld运行作为一个正常的特权的Unix用户user_name，你必须做到以下几点：

如果你的UNIX机器本身是不是安全的，你应该指定密码，MySQLroot在授权表账户。否则，任何机器上登录帐户的用户可以运行MySQL一个客户--user=root选择和执行任何操作。（这是一个好主意给MySQL账户密码在任何情况下，尤其是当其他的登录帐户存在服务器主机上看到。）第2.9.4，”保证初始MySQL账户”

这个LOAD DATA语句可以加载文件位于服务器主机，或者，如果当地关键词指定客户端主机上。

有两个潜在的安全问题与LOCAL版本LOAD DATA：

为了避免LOAD DATA问题，客户应避免使用当地。为了避免连接到不受信任的服务器，客户端可以建立安全连接和验证服务器的身份通过连接使用--ssl-mode=VERIFY_IDENTITY选择合适的CA证书

使管理员和应用程序来管理本地数据加载性能，LOCAL配置是这样的：

如果LOCAL能力是残疾人，在服务器端或客户端，客户端尝试问题LOAD DATA LOCAL声明中收到以下错误消息：

错误1148：使用的命令是不允许使用这个版本的MySQL

应用程序访问MySQL不能相信任何用户输入的数据，谁能想骗你的代码在网页的形式，进入特殊或转义字符序列的URL，或你所建造的任何应用程序。确保你的应用程序是安全的如果一个用户进入类似; DROP DATABASE mysql;。这是一个极端的例子，但大的安全漏洞和数据丢失可能是由于使用了类似的技术，黑客的出现，如果你不为他们准备的。

一个常见的错误是只保护字符串数据值。记得检查数据以及。如果一个应用程序生成查询等SELECT * FROM table WHERE ID=234当使用价值的时候二百三十四，用户可以输入值234 OR 1=1使应用程序来生成查询SELECT * FROM table WHERE ID=234 OR 1=1。因此，服务器检索表中每行的。这暴露了每一排，导致过度的服务器负载。为了防止这种类型的攻击，最简单的方法是使用单引号的数字常量：SELECT * FROM table WHERE ID='234'。如果用户输入更多的信息，这一切成为字符串的一部分。在数字环境中，MySQL会自动将这个字符串到数字和非数字字符的条任何尾随。

有时人们认为，如果一个数据库只包含公开数据，它不需要被保护。这是不正确的。即使是允许显示数据库中的任何一行，你还是应该防止拒绝服务攻击（例如，那些基于前款所导致服务器资源浪费的技术）。否则，你的服务器就成为合法用户反应迟钝。

自评量表：

许多应用程序编程接口提供特殊字符转义手段在数据值。使用得当，这可以防止应用程序用户输入值，导致应用程序产生一个比你打算的不同影响的陈述：

其他编程接口可能有类似的能力。

的权限授予一个MySQL账户确定操作的帐户可以执行。MySQL的权限在其应用和不同层次的运行脉络的差异：

特权也不同方面是否是静态的（内置到服务器）或动态的（在运行时定义）。是否有特权是静态或动态的影响给予用户账号和角色的可用性。看到6.2.2、静态与动态的特权”

关于帐户权限信息存储在user，DB，tables_priv，columns_priv，procs_priv，和全球_补助表中的mysql系统数据库（见第6.2.3，“Grant Tables”）。MySQL服务器读取这些表的内容到内存中时，它开始和重新加载的情况下显示第6.2.8，当特权更改生效”。访问控制决策是基于在授权表的内存拷贝。

介绍一些MySQL的版本变化的授权表的结构来添加新的权限或特征。确保你可以利用任何新功能，更新你的授权表有电流结构当你升级MySQL。看到4.4.5“，”mysql_upgrade检查升级MySQL表”

下表显示了用于静态权限名称GRANT和REVOKE报表，以及在授权表的每个权限相关的列名称和背景的特权应用。

下表显示了用于动态权限名称GRANT和REVOKE报表，随着语境的特权申请。

这是一个好主意，给一个帐户只有那些特权，它需要。你应该在给予运动特别小心FILE行政特权：

以下各节提供可用的MySQL的静态和动态权限的一般描述。（关于这两种特权之间的差异信息见6.2.2、静态与动态的特权”特别是SQL语句。）可能有更具体的要求比表明这里的特权。如果是这样的话，对问题的描述提供了细节。

MySQL支持静态和动态权限：

例如，在SELECT和INSERT特权是静态的，总是可用的，而动态权限变得可用，只有实现它已启用的服务器组件。

本节介绍了如何在MySQL动态权限。讨论使用的术语“组件“但也同样适用于插件

服务器维护注册动态权限内部存储器中的设置。注销发生在服务器关闭。

通常，一个服务器组件，定义了动态特权寄存器他们安装时，其初始化序列中。当卸载，服务器组件不注销其注册的动态权限。（这是目前的做法，不要求。那是，组件可以，但不要在任何时候他们登记注销的特权。）

没有警告或错误的企图已注册登记的动态权限。考虑下面的语句序列：

INSTALL COMPONENT 'my_component';
UNINSTALL COMPONENT 'my_component';
INSTALL COMPONENT 'my_component';

第一INSTALL COMPONENT声明寄存器任何特权的服务器组件的定义我的喜剧演员，但UNINSTALL COMPONENT不注销他们。第二INSTALL COMPONENT语句，它注册的是已注册的组件的权限，但没有警告或错误发生。

动态权限只应用在全球层面。服务器存储信息的动态权限的用户帐户的当前任务mysql.global_grants系统表：

例如：下面的语句授予用户u1需要控制复制的权限（包括组复制）在从服务器，并修改系统变量：

Grant repedicience at the Suse Per AMIN，Group Const Relipped Per AMIN，BINOLG ET ADMinon * . * to ' u1 ' @encipast；

动态权限授予出现在输出从SHOW GRANTS声明和information_schemaUSER_PRIVILEGES表

为GRANT和REVOKE在全球层面，任何命名的权限不被公认为静态检查注册动态权限设置，如果发现电流。否则，表示一个未知的特权标识发生错误。

为GRANT和REVOKE的意思所有的[权限]在全球层面，包括所有静态全局权限，以及所有目前注册的动态权限：

这个FLUSH PRIVILEGES语句读取全球_补助表的动态权限分配和登记未经登记的特权有。

用MySQL服务器和服务器组件包含在MySQL的分布提供了动态权限说明，见6.2.1节”，privileges提供由mysql”

这个mysql系统数据库包含多个授权表包含有关用户帐户和他们所持有的特权信息。本节描述了这些表。对系统数据库中的其他表的信息，参见5.3节，“MySQL数据库”

操纵授权表的内容，修改它们间接利用账户管理报表等CREATE USER，GRANT，和REVOKE建立账户并有效控制每个人的特权。看到第13.7.1，“账户管理报表”。这里讨论了授权表的基础结构和服务器如何使用它们的内容与客户互动时。

这些mysql数据库表包含授权信息：

在MySQL 8中，授权表的使用InnoDB存储引擎和事务。在MySQL 8，授权表的使用MyISAM而非事务性存储引擎。这批表的存储引擎的变化使伴随的变化对账户管理报表等行为CREATE USER或GRANT。此前，账户管理报表，命名为多个用户成功和失败的人对一些用户。现在，每个语句的事务，无论是成功的所有指定用户或卷有错误发生后并没有影响。

每个授权表包含的列和列范围的特权：

服务器以下面的方式使用授权表：

服务器使用user和DB表中的mysql在访问控制的第一和第二阶段的数据库（见6.2节，“MySQL的权限系统”）。在列user和DB表所示

这个user表插件和authentication_string列存储认证插件和证书信息。

服务器使用插件命名的plugin一个帐户行鉴定帐户连接尝试柱。

这个plugin列不能是空的。在启动时，在运行时FLUSH PRIVILEGES执行时，服务器会检查用户表中的行。有空的任何行plugin柱，服务器写这种形式的错误日志警告：

[警告]用户入口”user_name“@”host_name“有一个空的pluginvalue。用户将被忽略，没有人可以用这useranymore登录。

这个password_expired列允许DBA过期账号密码要求用户重置其密码。默认的password_expired值'N'，但可设置“Y”与ALTER USER声明。在一个帐户的密码已过期，所有操作由账户在随后的连接在一个错误的服务器到用户的问题ALTER USER语句来建立一个新的帐户密码。

这可能是密码到期后“重置“通过它的电流值的密码。作为一个好的政策，最好是选择一个不同的密码。数据库管理员可以通过建立一个适当的密码重用政策执行非重用。看到密码重用策略

password_last_changed是一个时间戳列指示当上次更改口令。价值是非—NULL只有对那些使用MySQL的内置身份验证插件（mysql_native_password，sha256_password，或caching_sha2_password）。the value isNULL其他账户，如那些使用外部认证系统认证。

password_last_changed更新的CREATE USER，ALTER USER，和SET PASSWORD报表，并通过GRANT语句创建一个帐户或更改帐户密码。

password_lifetime显示账号密码的寿命，在天。如果密码是过去的寿命（评估使用的password_last_changed列），服务器将密码过期，当客户端连接使用的帐户。一个值N大于零，意味着必须更改密码的每一N天.值0禁用自动密码过期。如果该值为无效的（默认），全球政策将到期，所定义的default_password_lifetime系统变量

account_locked指示帐户锁定（见第6.3.12，“用户帐户锁定”）

Password_reuse_history是的价值密码历史该帐户的选项，或NULL对于默认的历史

Password_reuse_time是的价值密码重用区间该帐户的选项，或NULL对于默认间隔

Password_require_current（可作为MySQL 8.0.13）对应的值密码要求该帐户的选项，如下面的表。

访问控制在第二阶段中，该服务器执行请求验证以确保每个客户对每个请求，这问题足够的特权。除了对user和DB授权表，服务器也可以咨询tables_priv和columns_priv请求涉及表表。后者表提供更精细的权限控制在表和列级。他们有列如下表所示。

这个Timestamp和让与人列设置为当前时间戳和CURRENT_USER值，分别为，但并不是未用的。

对于要求涉及存储程序验证，服务器可咨询procs_priv表，具有下表中显示的列。

这个Routine_type柱是一个ENUM值列“功能”或'PROCEDURE'表明常规行指型。本栏目使权限被授予单独为一个函数和一个具有相同名称的程序。

这个Timestamp和让与人列未使用

这个proxies_priv表中记录的有关代理的帐户信息。它有这些列：

一个帐号可以授予PROXY特权的其他帐户，它必须在有一排proxies_priv表With_grant设置为1proxied_host和Proxied_user设置显示的帐户或帐户的权限可以授予。例如，在root @本地主机在MySQL安装创建的帐户在一排proxies_priv表格可以授予PROXY特权“@”，即所有用户和所有主机。这使root设置代理的用户，以及委托其他帐户的权限设置代理用户。看到第6.3.11”代理用户”

这个global_grants表列出当前用户帐户的动态权限分配。这些特权是全球。这些列的表：

这个default_roles表中列出的默认用户角色。它有这些列：

这个role_edges表列出角色图的边缘。它有这些列：

这个password_history表包含有关修改密码信息。它有这些列：

这个password_history表非空密码账号积累足够数量使MySQL进行检查对账号密码的历史长度和复用间隔。条目，是在极限时更改密码的尝试发生自动修剪。

如果一个账号改名，其条目改名为比赛。如果一个帐户被丢弃或其认证的插件是改变，其条目删除。

在授权表范围列包含字符串。每个默认值是空字符串。下表显示每列中允许的字符数。

访问检查的目的，比较User，proxied_user，authentication_string，DB，和Table_name的值都是大小写敏感。比较主机，Proxied_host，column_name，和Routine_name值不区分大小写

这个user和DB表列出了每个权限在一个单独的列声明为ENUM('N','Y') DEFAULT 'N'。换句话说，每一个特权可以禁用或启用，与默认被禁用。

这个tables_priv，columns_priv，和procs_priv表列为申报的特权SET专栏在这些列的值可以包含由表控制权限的任何组合。只有在列值的权限，使上市。

只有user表指定的行政特权，如RELOAD和SHUTDOWN。行政业务是服务器本身的操作和不特定数据库，所以没有理由列表中的其他授权表这些特权。因此，服务器只需要咨询用户表以确定用户是否可以执行管理操作。

这个FILE特权也只在指定的用户表它不是一个行政特权等，但用户的阅读能力或服务器主机上写文件是独立的被访问的数据库。

服务器读取授权表的内容到内存中时，它开始。你可以告诉它加载表发布FLUSH PRIVILEGES语句或执行mysqladmin嵌入式的权利或mysqladmin重装命令。授予表生效如变化第6.2.8，当特权更改生效”

当你修改一个帐户，这是一个好主意，以验证您的变化有预期的效果。检查权限，对于一个给定的账户，使用SHOW GRANTS声明。例如，确定权限授予一个帐户的用户名和主机名的值鲍勃和pc84.example.com使用此语句：

显示“鲍勃”'pc84补助。例如.com”；

显示一个帐户nonprivilege性能，使用SHOW CREATE USER：

显示创建用户“鲍勃”'pc84。例如.com”；

MySQL账户名称由用户名和主机名。这使用户有相同名字的人可以从不同的主机连接的帐户创建。本节介绍如何写帐户的名称，包括特殊的价值观和通配符规则。

MySQL的角色名称与账户名称，有些不同了第6.2.5，“指定角色的名字”

在SQL语句等CREATE USER，GRANT，和SET PASSWORD遵循这些规则，账户名称：

MySQL存储帐户的名称在授权表mysql使用单独的列为用户名和主机名部分系统数据库：

关于授权表结构的更多细节，参见第6.2.3，“Grant Tables”

用户名和主机名或通配符规则具有一定的特殊价值，如以下。

一个帐号的用户名部分是一个非空值，字面匹配的用户名传入的连接尝试，或空白值（空字符串），匹配任何用户名。一个空白的用户帐户是匿名用户。指定SQL语句中的匿名用户，使用一个引用空用户名的一部分，如''@'localhost'

一个帐户名主机名部分可采取多种形式，并允许使用通配符：

服务器执行的帐户名称与客户端主机使用价值观匹配主机系统返回的DNS解析客户端的主机名或IP地址。除了在的情况下，账户价值是使用子网掩码符号指定主机，服务器作为一个字符串匹配比较，甚至一个帐号主机值给出一个IP地址。这意味着，你应该使用DNS格式相同主机值指定帐户。这是需要注意的问题的例子：

为了避免这样的问题，这是明智的检查你的DNS返回主机名和地址的格式。在MySQL帐户名称相同的格式，使用价值。

MySQL的角色名字指的是角色，即集合的特权。角色使用的例子，看第6.3.4，“角色”

角色名称有语法和语义相似的帐户名称（第6.2.4，“指定的帐户名”）。角色名称与账户名称在这些方面：

在一排是可能的mysql.user系统表作为一个账户和一个角色。在这种情况下，任何特殊的用户或主机名匹配的属性不适用于上下文的名称作为一个角色的名字。例如，你不能执行与期望，它将使用所有的角色，有一部分用户设置的当前会话角色声明如下角色和任何主机名：

SET ROLE 'myrole'@'%';

相反，声明为会议的作用完全名称设置活动的作用'myrole'@'%'

为此，角色名称往往仅使用用户名和主机名部分让隐式地指定'%'。指定一个角色与一个非—“%”主机部分可以是有用的如果你打算创建一个名称，作为一个角色作为一个用户帐户，允许从特定的主机连接。

当您试图连接到MySQL服务器，服务器接受或拒绝基于这些条件的连接：

服务器检查凭据，然后帐户锁定状态。一步失败导致服务器拒绝访问你完全。否则，服务器接受连接，然后进入第二阶段，等待请求。

凭证检查使用的是三行user表列（范围主机，User，和_认证字符串）。锁定状态被记录在user表account_locked专栏服务器接受连接只有Host和用户列在一些user表中的行匹配的客户端的主机名和用户名，客户提供该行中指定的密码，和account_locked值'N'。允许的规则主机和User值给出了第6.2.4，“指定的帐户名”。帐户锁定是可以改变的ALTER USER声明

你的身份是基于两条信息：

如果User列值为非空，在传入的连接的用户名称必须完全匹配。如果用户值是空白，它匹配任何用户名称。如果user表中的行匹配传入的连接有一个空白的用户名称，用户被认为是一个没有名字的匿名用户，不是一个真正的客户指定用户的名称。这意味着一个空白的用户名称用于所有进一步的访问检查连接的持续时间（即二期）。

这个authentication_string列可以是空白。这不是一个通配符，并不意味着任何密码匹配。这意味着用户必须连接没有指定密码。如果服务器对客户端使用一个插件，该插件实现的可能或不可能在使用密码的认证方法_认证字符串专栏在这种情况下，它可能是一个外部的密码也被用来验证到MySQL服务器。

非空authentication_string中的值用户表表示加密的密码。mysql不存储密码明文的形式给谁看。相反，由一个用户试图连接提供的密码进行加密（使用密码散列方法通过账户认证插件实现）。加密的密码然后连接过程时，检查是否正确输入密码时使用。这样做是不加密的密码曾经旅行过的连接。看到6.3.1节，“用户名和密码”

从MySQL的点，加密的密码是真实密码，所以你不应该给任何人访问它。特别地,不给非管理员用户访问表的读mysql数据库

下表显示了各种组合User和主机中的值user表适用于传入的连接

客户端的主机名和用户名输入连接在一个以上的行匹配是可能的user表实例演示：前面几个条目显示匹配连接h1.example.net由fred

多个可能的匹配时，服务器必须确定他们使用。解决这一问题如下：

服务器使用的排序，最具体的行排序规则Host的值。字面上的主机名和IP地址是最具体的。（一个字面上的IP地址的特异性不受是否有子网掩码，所以198.51.100.13和198.51.100.0/255.255.255.0同样被认为是特定的模式。）“%”方法“任何主机“是最不具体。空字符串''也意味着“任何主机“但整理后'%'。同一行主机价值是有序的最具体的User的值（一个空白用户价值手段“任何用户“是最具体的）。同样的具体行Host和用户值，顺序是不确定的

看到这是如何工作的，假设user表看起来像这样：

----------- ---------- - |主机|用户|…----------- ---------- - | % |根|…| % |杰夫瑞|…| localhost |根|…| localhost | |…----------- ----------—

当服务器读取到内存中的表，各种行使用规则描述。排序后的结果看起来像这样：

+-----------+----------+-
| Host      | User     | ...
+-----------+----------+-
| localhost | root     | ...
| localhost |          | ...
| %         | jeffrey  | ...
| %         | root     | ...
+-----------+----------+-

当一个客户端试图连接，服务器查找排序的行和使用第一个找到的匹配。一个连接localhost由杰夫瑞，两从表相匹配的行数：一个Host和用户值'localhost'和' '，和价值观的人'%'和“杰夫瑞”。这个'localhost'行出现在排序第一，所以这是一个服务器使用。

这里是另一个例子。假设user表看起来像这样：

---------------- ---------- - |主机|用户|…---------------- ---------- - | % |杰夫瑞|…| h1.example.net | |…---------------- ----------—

排序表看起来像这样：

+----------------+----------+-
| Host           | User     | ...
+----------------+----------+-
| h1.example.net |          | ...
| %              | jeffrey  | ...
+----------------+----------+-

一个连接jeffrey从h1.example.net由第一行匹配，而连接jeffrey从任何主机的第二匹配。

如果你能够连接到服务器，但你的特权是不是你所期望的，你可能被鉴定为其他帐户。找出哪些账户用来验证你的服务器，使用CURRENT_USER()功能。（见12.14节，“信息功能”它返回一个值。）user_name@host_name格式说明用户和Host从匹配值用户表格行。假设jeffrey连接问题以下查询：

MySQL的>SELECT CURRENT_USER();---------------- | current_user() | ---------------- | @本地| ----------------

这里显示的结果表明，匹配user表行有一个空白用户列值。换句话说，服务器处理jeffrey作为匿名用户

另一种方法来诊断认证问题是打印出来的user表用手把它看到的第一场比赛是由。

你建立连接后，服务器进入访问控制2阶段。对于每个请求，你的问题通过该连接，服务器确定要执行什么操作，然后检查你是否有足够的权限去这么做。这是在授权表列的特权来发挥作用。这些特权可以来自任何的user，DB，tables_priv，columns_priv，或procs_priv表（你可能会发现它有用参考第6.2.3，“Grant Tables”，其中列出的列在每个授权表现。）

这个user表授予权限是指派给您在全球的基础上，运用无论默认数据库是什么。例如，如果用户表给你的DELETE特权，你可以删除行的任何表中的任何数据库服务器主机！在给予特权是明智的用户表只为需要的人，如数据库管理员。对于其他用户，你应该把所有的特权的user表格设置“N”而在更具体的层面只授予特权。你可以为特定的数据库，授予权限表，列，或例程。

这个db表格数据库特定的权限授予。在该表的列的值的范围，可以采取下列方式：

服务器读取db到内存中的表和排序它的同时，它读取用户表服务器的分类db基于表主机，Db，和用户范围列。与user表，分类提出最具体的值的第一和最具体的价值观上，当服务器查找匹配的行，它使用的第一场比赛，发现。

这个tables_priv，columns_priv，和procs_priv表授权表列具体，具体，和常规的特定权限。在这些表中的列的值的范围，可以采取下列方式：

服务器的分类tables_priv，columns_priv，和procs_priv基于表主机，Db，和用户专栏这是类似于db表排序，但更简单，因为只有主机列可以包含通配符

服务器使用排序表来验证每一个请求，它接收。请求需要管理权限等SHUTDOWN或RELOAD，服务器只检查用户表行，因为这是唯一的表，指定行政特权。服务器授予存取如果行允许请求的操作，否则拒绝访问。例如，如果你想执行关闭但你的user表格行不批SHUTDOWN特权，你的服务器拒绝访问，甚至没有检查DB表（不包含Shutdown_priv列，所以没有必要这样做。）

数据库相关的要求（INSERT，UPDATE，等等），服务器首先检查用户的全局权限看的用户表格行。如果行允许请求的操作，访问是理所当然的。如果在全球的特权user表是不够的，服务器确定用户的数据库特定的权限检查DB表

服务器会在db在一个匹配表主机，Db，和用户专栏这个Host和用户柱配合连接用户的主机名和MySQL用户名。这个Db柱是相匹配的，用户要访问数据库。如果没有行为主机和User，访问被拒绝

在确定数据库特定的权限授予db表的行，服务器添加到全局权限授予用户表如果结果允许请求的操作，访问是理所当然的。否则，服务器先后检查用户的表和列中的特权tables_priv和columns_priv表，增加了对用户的权限，并允许或拒绝基于结果的访问。对于存储的常规操作，服务器使用procs_priv表而不是_前缀号码表和columns_priv

在布尔表示，前面的描述一个用户权限的计算可以概括如下：

global privileges
OR (database privileges AND host privileges)
OR table privileges
OR column privileges
OR routine privileges

它可能不是很明显的原因，如果全球user行特权最初发现不足以操作请求，服务器将这些权限的数据库、表和列的权限后。原因是，一个请求可能需要不止一种类型的特权。例如，如果你执行一个INSERT INTO ... SELECT声明中，你既需要INSERT和SELECT特权.你的权限可能是这样的用户一个表行授予特权和db表格行给予其他。在这种情况下，你必须执行该请求所必需的权限，但服务器无法从表本身；在表行授予特权必须结合。

什么时候mysqld开始，它读取所有授权表内容到内存。在内存表成为有效的访问控制点。

如果修改授权表间接使用帐户管理报表等GRANT，REVOKE，SET PASSWORD，或RENAME USER注意到这些变化，服务器加载到内存立即再次授权表。

如果修改授权表直接使用报表等INSERT，UPDATE，或DELETE，你的变化对特权检查你重启服务器或者让它重新加载表直到没有影响。如果你改变了格兰特表直接而忘了加载它们，你的变化没有影响直到你重新启动服务器。这可能会让你想知道为什么你的变化似乎没有影响！

告诉服务器重新加载授权表，执行FLUSH PRIVILEGES操作。这可以通过发行完成FLUSH PRIVILEGES通过执行一个语句或mysqladmin嵌入式的权利或mysqladmin重装命令

金表加载影响特权每个现有的客户端连接如下：

如果服务器开始的--skip-grant-tables选项，读起来不授权表或执行任何访问控制。任何人都可以做任何事，insecure which is。导致服务器从而开始看表并启用访问检查，冲洗的特权。

如果你遇到问题，当你试图连接到MySQL服务器，以下介绍一些你可以采取的行动来纠正问题。

MySQL存储账户中user表的MySQL系统数据库。一个帐户被定义的用户名和主机或主机的用户可以连接到服务器。信息在有关账户表示user表，看第6.2.3，“Grant Tables”

该帐户可能也有一个密码。MySQL支持身份验证插件，所以它可能是一个账户认证使用一些外部认证方法。看到第6.3.10，“认证”

有用户名称和密码是由MySQL和你的操作系统使用方式之间的区别：

MySQL的安装过程与初始填充授权表root帐户，如第2.9.4，”保证初始MySQL账户”，也讨论了如何分配密码吧。此后，你通常设置、修改和使用等语句删除MySQL账户CREATE USER，DROP USER，GRANT，和REVOKE。看到第13.7.1，“账户管理报表”

连接到一个MySQL服务器的命令行客户端，指定用户名和密码选项，必须要使用的帐户：

shell> mysql --user=finley --password db_name

如果你更喜欢短的选项，命令看起来像这样：

shell> mysql -u finley -p db_name

如果你忘记密码值以下--password或P在命令行选项（如刚才所示），客户端会提示输入一个。另外，密码可以在命令行中指定：

shell> mysql --user=finley --password=password db_name
shell> mysql -u finley -ppassword db_name

如果你使用-p选择，必须有没有空间之间-p和下面的密码值

指定命令行上的密码应该被认为是不安全的。看到第6.1.2.1，“最终用户指南的密码安全”。你可以使用一个选项文件或注册文件的路径以避免在命令行上提供的密码。看到第4.2.6、“使用选项文件”，和4.6.7“，”_ _ MySQL配置编辑器MySQL的配置实用程序”

有关指定用户名，密码，和其他连接参数，看4.2.2节，“连接到服务器”

创建MySQL账户，使用账户管理语句用于创建帐户和建立自己的特权，如CREATE USER和GRANT。这些陈述导致服务器的基本授权表做适当修改。所有这些陈述中描述第13.7.1，“账户管理报表”

创建帐户的另一个选择是使用GUI工具MySQL Workbench。另外，一些第三方程序提供的MySQL账户管理功能。phpMyAdmin就是这样的一个程序

下面的示例演示如何使用MySQL客户端程序建立新帐户。这些例子假设权限已设置按照默认设置第2.9.4，”保证初始MySQL账户”。这意味着要做出改变，你必须连接到MySQL服务器的MYSQLroot用户，具有CREATE USER特权

首先，使用MySQL程序连接到服务器的MYSQLroot用户：

内核>mysql --user=root mysql

如果你指定一个密码来的root帐户，你必须提供一个——密码或-p选项

连接到服务器后root，你可以添加新的账户。下面的示例使用CREATE USER 和GRANT报表设置四个账户：

MySQL的>CREATE USER 'finley'@'localhost' IDENTIFIED BY 'password';MySQL的>GRANT ALL PRIVILEGES ON *.* TO 'finley'@'localhost'->    WITH GRANT OPTION;MySQL的>CREATE USER 'finley'@'%' IDENTIFIED BY 'password';MySQL的>GRANT ALL PRIVILEGES ON *.* TO 'finley'@'%'->    WITH GRANT OPTION;MySQL的>CREATE USER 'admin'@'localhost' IDENTIFIED BY 'password';MySQL的>GRANT RELOAD,PROCESS ON *.* TO 'admin'@'localhost';MySQL的>CREATE USER 'dummy'@'localhost';

这些语句创建的帐户具有以下特性：

看到权限的一个帐户，使用SHOW GRANTS：

MySQL的>SHOW GRANTS FOR 'admin'@'localhost';----------------------------------------------------- |授予管理员@本地| ----------------------------------------------------- |格兰特重装，过程*。*“admin '@'本地主机' | -----------------------------------------------------

看到一个帐户nonprivilege性能，使用SHOW CREATE USER：

MySQL的>SHOW CREATE USER 'admin'@'localhost'\G*************************** 1。行***************************创建管理员@本地用户：创建用户Admin @ 'localhost'identified ' mysql_native_password'as * 67acdebdab923990001f0ffb017eb8ed41861105'require没有到期默认帐户解锁密码

下一个例子中创建三个帐户，并授予他们访问特定数据库。他们每个人都有一个用户名custom和密码password：

MySQL的>CREATE USER 'custom'@'localhost' IDENTIFIED BY 'password';MySQL的>GRANT SELECT,INSERT,UPDATE,DELETE,CREATE,DROP->    ON bankaccount.*->    TO 'custom'@'localhost';MySQL的>CREATE USER 'custom'@'host47.example.com' IDENTIFIED BY 'password';MySQL的>GRANT SELECT,INSERT,UPDATE,DELETE,CREATE,DROP->    ON expenses.*->    TO 'custom'@'host47.example.com';MySQL的>CREATE USER 'custom'@'%.example.com' IDENTIFIED BY 'password';MySQL的>GRANT SELECT,INSERT,UPDATE,DELETE,CREATE,DROP->    ON customer.*->    TO 'custom'@'%.example.com';

3帐户可以使用如下：

删除一个帐户，使用DROP USER声明，这是描述第13.7.1.5，“降低用户的语法”。。。。。。。例如：

mysql> DROP USER 'jeffrey'@'localhost';

MySQL的作用是一个集合体的特权。如用户帐户、角色可以授予和撤销他们的特权。

用户帐户可以被授予的角色，赋予到每个角色关联的权限。这使得特权帐户组分配和提供了一个方便的选择赋予个人的特权，既为所需的权限分配和执行的概念。

下面的列表总结了角色管理能力提供MySQL：

对于各个角色的操作语句描述，看第13.7.1，“账户管理报表”。下面的讨论提供了角色的使用示例。除非另有规定，SQL语句所示，应使用MySQL具有管理特权的帐户执行，如root账户