MySQL的权限内容

1、概述 
MySQL权限系统的主要功能是证实连接到一台给定主机的用户，并且赋予该用户在数据库上的各种权限，一般生产环境中 的程序账号只需要SELECT、INSERT、UPDATE和DELETE权限即可。 MySQL根据访问控制列表（ACL）对所有连接、查询和用户尝试执行的其他操作进行安全管理。MySQL将验证用户的3项 信息：用户名、密码、主机来源。对通过验证的用户再确认其他的访问权限，以进行访问控制。  
权限可以分为两类：系统权限和对象选项。 系统权限允许执行一些特定的功能，如关闭数据库、终止进程、显示数据库列表、查看当前执行的查询等。对象权限是指 对一些特殊的对象（表、列、视图、数据库）的访问权限，例如是否允许访问某张表，是否允许在某个库中创建表。 

GRANT和REVOKE语句允许系统管理员创建MySQL用户账户、授予权限和撤销权限。授予的权限可以分为多个级别：服 务器级别（全局）、数据库级别、表级别、列级别、子程序级别。撤销权限即回收已经存在的权限。 
语法如下： 
GRANT [privileges] ON [objects] TO [user]  
GRANT [privileges] ON [objects] TO [user] IDENTIFIED BY [password]  
REVOKE [privileges] ON [objects] FROM [user] 

MySQL为有SUPER权限的用户专门保留了一个额外的连接，因此即使是所有的普通连接都被占用，MySQL root用户仍可以 登录并检查服务器的活动。如果想要限制单个账户允许的连接数量，可以通过设置max_user_connections变量来完成。 

注意： 
1）当在GRANT语句中指定数据库名称时，允许使用“_”和“%”通配符。这意味着，如果想要使用“_”字符作为一个数据库名称 的一部分，则应该在GRANT语句中指定它为“\_”，例如，“GRANT…ON‘foo\_bar’.* TO…。”； 
2）show tables 命令不会显示用户没有权限访问的表； 
3）不用采用相同的用户名（但来自于不同的主机）赋予不同权限的方式，这样容易造成混淆，导致维护困难； 

2、权限更改何时生效 
当mysqld启动时，所有授权表的内容将被读进内存并且从此时开始生效。当服务器注意到授权表被改变了时，现存的客户 端连接将会受到如下影响。 

表和列的权限在客户端的下一次请求时生效； 
数据库的权限改变在下一个use db_name命令生效； 
全局权限的改变和密码改变在下一次客户端连接时生效； 

如果使用GRANT、REVOKE或SET PASSWORD命令对授权表进行修改，那么服务器会注意到更改并立即将授权表重新载 入内存。如果手动地修改授权表（使用INSERT、UPDATE或DELETE等），则应该执行mysqladmin flush-privileges或mysqladmin reload告 诉服务器再重新装载授权表，否则手动的更改将不会生效，除非重启服务器。 

3、常用的权限 
show privileges命令可以显示MySQL所支持的权限，如下是一些常用的权限。 
mysql> show privileges; 
Select_priv：确定用户是否可以通过SELECT命令选择数据  
Insert_priv：确定用户是否可以通过INSERT命令插入数据  
Update_priv：确定用户是否可以通过UPDATE命令修改现有数据  
Delete_priv：确定用户是否可以通过DELETE命令删除现有数据  
Create_priv：确定用户是否可以创建新的数据库和表  
Drop_priv：确定用户是否可以删除现有数据库和表  
Reload_priv：确定用户是否可以执行刷新和重新加载MySQL所用各种内部缓存的特定命令，包括日志、权限、主机、查询和表  
Shutdown_priv：确定用户是否可以关闭MySQL服务器，将此权限提供给root账户之外的任何用户时，都应当非常谨慎  
Process_priv：确定用户是否可以通过SHOW  
File_priv：确定用户是否可以执行SELECT INTO OUTFILE和LOAD DATA INFILE命令  
Grant_priv：确定用户是否可以将已经授予给该用户自己的权限再授予其他用户，例如，如果用户可以插入、选择和删除foo数据库中的信息，并且授予了GRANT权限，则该用户就可以将其任何或全部权限授予系统中的任何其他用户 
References_priv：目前只是某些未来功能的占位符，现在没有作用  
Index_priv：确定用户是否可以创建和删除表索引  
Alter_priv：确定用户是否可以重命名和修改表结构  
Show_db_priv：确定用户是否可以查看服务器上所有数据库的名字，包括用户拥有足够访问权限的数据库，可以考虑对所有用户禁用这个权限，除非有特别不可抗拒的原因  
Super_priv：确定用户是否可以执行某些强大的管理功能，例如通过KILL命令删除用户进程，使用SET GLOBAL修改全局MySQL变量，执行关于复制和日志的各种命令  
Create_tmp_table_priv：确定用户是否可以创建临时表  
Lock_tables_priv：确定用户是否可以使用LOCK  
Execute_priv：确定用户是否可以执行存储过程，此权限只在MySQL 5.0及更高版本中有意义  
Repl_slave_priv：确定用户是否可以读取用于维护复制数据库环境的二进制日志文件，此用户位于主系统中，有利于主机和客户机之间的通信  
Repl_client_priv：确定用户是否可以确定复制从服务器和主服务器的位置  
Create_view_priv：确定用户是否可以创建视图，此权限只在MySQL 5.0及更高版本中有意义  
Show_view_priv：确定用户是否可以查看视图或了解视图如何执行，此权限只在MySQL 5.0及更高版本中有意义 Create_routine_priv：确定用户是否可以更改或放弃存储过程和函数，此权限是在MySQL 5.0中引入的 Alter_routine_priv：确定用户是否可以修改或删除存储函数及函数，此权限是在MySQL 5.0中引入的 Create_user_priv：确定用户是否可以执行CREATE  
Event_priv：确定用户能否创建、修改和删除事件，这个权限是MySQL 5.1.6新增的  
Trigger_priv：确定用户能否创建和删除触发器，这个权限是MySQL 5.1.6新增的 
Create_tablespace_priv: 创建表的空间 

常用的权限： 
1）SELECT、INSERT、UPDATE和DELETE权限允许用户在一个数据库现有的表上实施读取、插入、更新和删除记录的操 作。这也是一般程序账号所需要的权限； 
2）SHOW VIEW权限允许用户查看已经创建了的视图； 
3）ALTER权限允许用户使用ALTERTABLE命令来修改现有数据表的结构； 
4）CREATE和DROP权限允许用户创建新的数据库和表，或者删除现存的数据库和表。生产环境中一般不赋予程序账号DROP 的权限； 
5）GRANT权限允许用户把自己拥有的权限授予其他的用户； 
6）FILE权限允许被授予该权限的用户都能读或写MySQL服务器能读写的任何文件； 
7）SHUTDOWN权限允许用户使用SHUTDOWN命令关掉服务器。可以创建一个用户专门用来关闭服务器；  
8）PROCESS权限允许用户使用PROCESSLIST命令显示在服务器内执行的进程的信息；使用KILL命令终止服务器进程。用户总是能显示或终止自己的进程，但是，显示或终止其他用户启动的进程则需要PROCESS权限。一些监控工具需要PROCESS权 限查看正在执行的命令； 

4、设置mysql用户资源限制 
• 通过设置全局变量max_user_connections可以限制所有用户在同一时间连接MySQL实例的数量，但此参数无法对每个用户区别对待，所以 MySQL提供了对每个用户的资源限制管理 
• MAX_QUERIES_PER_HOUR:一个用户在一个小时内可以执行查询的次数(基本包含所有语句) 
• MAX_UPDATES_PER_HOUR:一个用户在一个小时内可以执行修改的次数(仅包含修改数据库或表的语句) 
• MAX_CONNECTIONS_PER_HOUR:一个用户在一个小时内可以连接MySQL的时间 
• MAX_USER_CONNECTIONS:一个用户可以在同一时间连接MySQL实例的数量 

• 通过执行create user/alter user设置/修改用户的资源限制 
mysql> CREATE USER 'francis'@'localhost' IDENTIFIED BY 'frank' WITH MAX_QUERIES_PER_HOUR 20 MAX_UPDATES_PER_HOUR 10 MAX_CONNECTIONS_PER_HOUR 5 MAX_USER_CONNECTIONS 2; 
mysql> ALTER USER 'francis'@'localhost' WITH MAX_QUERIES_PER_HOUR 100; 

• 取消某项资源限制既是把原先的值修改成0 
 mysql> ALTER USER 'francis'@'localhost' WITH MAX_CONNECTIONS_PER_HOUR 0; 
  
 • 当针对某个用户的max_user_connections非0时，则忽略全局系统参数 max_user_connections，反之则全局系统参数生效 

5、设置mysql用户的密码 
1）执行create user 创建用户和密码 
mysql> CREATE USER 'jeffrey'@'localhost' IDENTIFIED BY 'mypass'; 
2）修改用户密码的方式包括： 
mysql> ALTER USER 'jeffrey'@'localhost' IDENTIFIED BY 'mypass'; 
mysql> SET PASSWORD FOR 'jeffrey'@'localhost' = PASSWORD('mypass'); 
mysql> GRANT USAGE ON *.* TO 'jeffrey'@'localhost' IDENTIFIED BY 'mypass';  
shell> mysqladmin -u user_name -h host_name password "new_password"; 
3）修改本身用户密码的方式包括： 
mysql> ALTER USER USER() IDENTIFIED BY 'mypass';  
mysql> SET PASSWORD = PASSWORD('mypass');