5安全访问控制.pdfVIP

安全、访问控制和权限 权限工作原理 • MySQL权限系统保证所有的用户可以严格地做他们假定被 允许做的事情。当你连接一个MySQL服务器时， 你的身份 由你从那连接的主机和你指定的用户名来决定，系统根据 你的身份和你想做什么来授予权限。 • MySQL在认定身份中考虑你的主机名和用户名字，是因为 有很小的原因假定一个给定的用户在因特网上属于同一个 人。例如，用户从连接的bill不必和从 连接bill是同一个人。 MySQL通过允许你区分 在不同的主机上碰巧有同样名字用户来处理它：你可以对 从连接授与bill一个权限集，而为从 的连接授予一个不同的权限集。 权限工作原理 • MySQL存取控制包含2个阶段： • 阶段1：服务器检查你是否允许连接。 • 阶段2：假定你能连接，服务器检查你发出的每个 请求。看你是否有足够的权限实施它。例如，如 果你从数据库中一个表精选(select)行或从数据 库抛弃一个表，服务器确定你对表有select权限 或对数据库有drop权限。 权限工作原理 • 服务器在存取控制的两个阶段使用在mysql 的数据库中的user、db和host表 权限工作原理 权限工作原理 • 对存取控制的第二阶段(请求证实)，如果请 求涉及表，服务器可以另外参考tables_priv 和columns_priv表。这些表的字段如下： 权限工作原理 每个授权表包含范围字段和权限字段。 • 范围字段决定表中每个条目的范围，即，条目适用的上下 文。例如, 一个user表条目的Host和User值为 和bob将被用于证实来自主机 的bob对服务器的连接。同样，一个db表 条目的Host、User和Db字段的值是、 bob和reports将用在bob从主机联接 存取reports数据库的时候。 tables_priv和 columns_priv表包含范围字段，指出每个条目适用的表或 表／列的组合。 • 对于检查存取的用途，比较Host值是忽略大小写的。User、 Password、Db和Table_name值是区分大小写的。 Column_name值在MySQL3.22.12或以后版本是忽略大小写 的。 权限工作原理 • 范围字段是字符串，如下所述；每个字段 的缺省值是空字符串： 权限工作原理 权限工作原理 • user表范围字段决定是否允许或拒绝到来的 连接。对于允许的连接，权限字段指出用 户的全局(超级用户)权限。 权限工作原理 • db和host表一起使用： • db表范围字段决定用户能从哪个主机存取哪个数 据库。权限字段决定允许哪个操作。 • 当你想要一个给定的db条目应用于若干主机时， host表作为db表的扩展被使用。例如，如果你想 要一个用户能在你的网络从若干主机使用一个数 据库，在用户的db表的Host条目设为空值，然后 将那些主机的每一个移入host表。阶段2 ：请求证 实。 权限工作原理 • tables_priv和columns_priv表类似于db表， 但是更精致：他们在表和列级应用而非在 数据库级。 权限工作原理 • 注意管理权限(reload, shutdown, 等等)仅 在user表中被指定。这是因为管理性操作是 服务器本身的操作并且不是特定数据库， 因此没有理由在其他授权表中列出这样的 权限。事实上，只需要请教user表来决定你 是否执行一个管理操作。 阶段1 连接证实 • 当你试图联接一个MySQL服务器时，服务器基于你的身 份和你是否能通过供应正确的口令验证身份来接受或拒绝 连接。如果不是，服务器完全拒绝你的存取，否则，服务 器接受连接，然后进入阶段2并且等待请求。 • 你的身