外观
MySQL 权限授予与回收
权限授予基础语法
全局权限授予
sql
GRANT ALL PRIVILEGES ON *.* TO 'username'@'host' IDENTIFIED BY 'password' WITH GRANT OPTION;数据库权限授予
sql
GRANT ALL PRIVILEGES ON `database_name`.* TO 'username'@'host';表权限授予
sql
GRANT SELECT, INSERT, UPDATE, DELETE ON `database_name`.`table_name` TO 'username'@'host';列权限授予
sql
GRANT SELECT(col1, col2), UPDATE(col1) ON `database_name`.`table_name` TO 'username'@'host';存储过程权限授予
sql
GRANT EXECUTE ON PROCEDURE `database_name`.`procedure_name` TO 'username'@'host';权限回收语法
全局权限回收
sql
REVOKE ALL PRIVILEGES ON *.* FROM 'username'@'host';数据库权限回收
sql
REVOKE ALL PRIVILEGES ON `database_name`.* FROM 'username'@'host';表权限回收
sql
REVOKE SELECT, INSERT, UPDATE, DELETE ON `database_name`.`table_name` FROM 'username'@'host';列权限回收
sql
REVOKE SELECT(col1, col2), UPDATE(col1) ON `database_name`.`table_name` FROM 'username'@'host';权限刷新
在授予或回收权限后，需要刷新权限表使更改生效：
sql
FLUSH PRIVILEGES;注意：在MySQL 8.0及以上版本中，使用GRANT和REVOKE命令时会自动刷新权限，无需手动执行FLUSH PRIVILEGES。
权限检查命令
查看当前用户权限
sql
SHOW GRANTS;查看特定用户权限
sql
SHOW GRANTS FOR 'username'@'host';查看权限表
sql
SELECT * FROM mysql.user WHERE User='username' AND Host='host';
SELECT * FROM mysql.db WHERE User='username' AND Host='host';版本差异
MySQL 5.7 及更早版本
- 创建用户和授予权限可在一条语句中完成
- 默认使用
mysql_native_password认证插件 - 权限表刷新需要手动执行
FLUSH PRIVILEGES
MySQL 8.0 及以上版本
- 必须先创建用户，再授予权限
- 默认使用
caching_sha2_password认证插件 GRANT和REVOKE命令自动刷新权限- 新增
ROLE功能，支持角色权限管理
最佳实践
- 最小权限原则：只授予用户完成工作所需的最小权限
- 使用具体权限而非ALL PRIVILEGES：避免过度授权
- 限制主机访问：尽量使用具体的IP地址或localhost，避免使用
% - 定期审查权限：定期检查和清理不必要的权限
- 使用角色管理权限：在MySQL 8.0+中，使用角色简化权限管理
- 避免直接授予全局权限：除非绝对必要
- 使用强密码策略：结合密码复杂度要求
- 定期轮换密码：特别是高权限账户
安全考虑
- 避免使用root账户进行日常操作：创建专用的管理员账户
- 禁用远程root访问：默认情况下，root账户只允许本地访问
- 定期检查权限表：查找异常权限和未知用户
- 使用SSL连接：保护权限操作的网络传输
- 启用审计日志：记录权限变更操作
- 限制GRANT OPTION权限：只授予可信用户
常见问题（FAQ）
Q1: 为什么授予权限后需要刷新权限？
A1: MySQL服务器启动时会将权限表加载到内存中，FLUSH PRIVILEGES命令用于重新从磁盘加载权限表到内存，使权限更改生效。在MySQL 8.0+版本中，使用GRANT和REVOKE命令时会自动刷新权限，无需手动执行。
Q2: 如何查看用户的具体权限？
A2: 可以使用SHOW GRANTS FOR 'username'@'host'命令查看用户的具体权限，或者直接查询对应的权限表，如mysql.user、mysql.db等。
Q3: MySQL 8.0中为什么不能在GRANT语句中创建用户？
A3: MySQL 8.0引入了更严格的权限管理机制，将用户创建和权限授予分离，必须先使用CREATE USER创建用户，再使用GRANT授予权限。
Q4: 如何撤销用户的所有权限？
A4: 可以使用REVOKE ALL PRIVILEGES ON *.* FROM 'username'@'host'撤销全局权限，然后撤销数据库、表等层级的权限，最后使用DROP USER 'username'@'host'删除用户（如果需要）。
Q5: 什么是最小权限原则？
A5: 最小权限原则是指只授予用户完成其工作所需的最小权限，避免过度授权导致的安全风险。例如，只需要查询数据的用户不应被授予修改或删除权限。
Q6: 如何管理大量用户的权限？
A6: 在MySQL 8.0+中，可以使用角色（ROLE）功能，先创建角色并授予权限，然后将角色分配给用户，这样可以简化权限管理和维护。
Q7: 为什么应该限制主机访问权限？
A7: 限制主机访问可以减少潜在的安全风险，防止恶意用户从未知来源尝试访问数据库。尽量使用具体的IP地址或localhost，避免使用通配符%。
Q8: 如何审计权限变更？
A8: 可以启用MySQL的审计日志功能，或者使用第三方审计工具，记录所有权限变更操作，包括谁在什么时候进行了什么权限变更。
Q9: 如何恢复误撤销的权限？
A9: 如果有定期的权限表备份，可以从备份中恢复权限；否则，需要重新授予相应的权限。建议在进行大规模权限变更前先备份权限表。
Q10: 什么是GRANT OPTION权限？
A10: GRANT OPTION是一个特殊权限，允许被授予该权限的用户将自己拥有的权限授予其他用户。应谨慎使用此权限，只授予可信用户。