MySQL数据库的授权原则.docVIP

　　MySQL数据库的授权原则教育资源库 　　服务器重新启动的情况 　　当mysqld启动时，所有的授权表内容被读进存储器并且从那时开始生效。 　　被服务器立即应用的情况 　　用GRANT、REVOKE或SET PASSySQL后，你必须运行mysql_install_db脚本建立包含授权表的mysql数据库和初始权限。在ySQL时，mysql数据库中的授权表是这样初始化的： 　　你可以从本地主机（localhost）上以root连接而不指定口令。root用户拥有所有权限（包括管理权限）并可做任何事情。（顺便说明，MySQL超级用户与Unix超级用户有相同的名字，他们彼此毫无关系。） 　　匿名访问被授予用户可从本地连接名为test和任何名字以test_开始的数据库。匿名用户可对数据库做任何事情，但无管理权限。 　　一般地，建议你删除匿名用户记录： 　　mysqlgt; DELETE FROM user ySQL用户使用口令。 　　记住，如果other_user没有口令，任何人能简单地用mysql -u other_user db_name作为任何其它的人登录。对客户机/服务器应用程序，客户可以指定任何用户名是常见的做法。在你运行它以前，你可以通过编辑mysql_install_db脚本改变所有用户的口令，或仅仅MySQL root的口令，象这样： shellgt; mysql -u root mysql mysqlgt; UPDATE user SET Passysqlgt; FLUSH PRIVILEGES;　　删除匿名用户 　　匿名用户的存在不仅不仅容易引起存取拒绝错误，更会产生严重的安全漏洞，安装授权表后，自动安装匿名用户。缺省时你可以用任何用户名连接，不需要密码，并且具有修改授权表权限。 　　你可以这样删除匿名用户： shellgt;mysql ndash;u root ndash;p mysql mysqlgt;delete from user iddot;留意使用通配符的主机名，尽量缩小主机名的范围，适合用户的主机就足够了，不要让用户不使用的主机留在授权表里。 　　如果你不信任你的DNS，你应该在授权表中使用IP数字而不是主机名。原则上讲，--secure选项对mysqld应该使主机名更安全。在任何情况下，你应该非常小心地使用包含通配符的主机名！ 　　授予用户合适的权限 　　授权用户足够使用的权限，不要赋予额外的权限。 　　例如，对于用户只需要检索数据表的需求，赋予SELECT权限即可，不可赋予UPDATE、INSERT等写权限，不要怕被说成时吝啬鬼。 　　可能会产生安全漏洞的权限 　　grant权限允许用户放弃他们的权限给其他用户。2个有不同的权限并有grant权限的用户可以合并权限。 　　alter权限可以用于通过重新命名表来推翻权限系统。 因为ALTER权限可能以你没有设想的任何方法被使用。例如，一个用户user1能访问table1，但不能访问table2。但是如果用户user1带有ALTER权限可能通过使用ALTER TABLE将table2重命名为table1来打乱你的设想。 　　shutdoiddot;可能会产生严重安全漏洞的权限 　　不要把PROCESS权限给所有用户。mysqladmin processlist的输出显示出当前执行的查询正文，如果另外的用户发出一个UPDATE user SET passysqld为有process权限的用户保留一个额外的连接, 以便一个MySQL root用户能登录并检查，即使所有的正常连接在使用。 　　不要把FILE权限给所有的用户。有这权限的任何用户能在拥有mysqld守护进程权限的文件系统那里写一个文件！为了使这更安全一些，用SELECT ... INTO OUTFILE生成的所有文件对每个人是可读的，并且你不能覆盖已经存在的文件。 　　FILE权限也可以被用来读取任何作为运行服务器的Unix用户可存取的文件。这可能被滥用，因为不仅有该服务器主机帐号的用户可以读取它们，而且有FILE权限的任何客户机也可以通过网络读取它们。你的数据库目录和系统的各种文件可能成为全球范围共享的文件！例如，通过使用LOAD DATA装载/etc/passysqlgt; USE test; mysqlgt; CREATE TABLE temp (b LONGBLOB);　　2、用此表读取你要窃取的文件的内容： mysqlgt;LOAD DATA INFILE /etc/passp -gt;FIELDS ESCAPED BY　　LINES TERMINATED BY　; mysqlgt;SELECT * FROM temp;　　3、可以这样窃取你的数据表data： mysqlgt;L