作為一個(gè)MySQL的系統(tǒng)管理員，你有責(zé)任維護(hù)你的MySQL數(shù)據(jù)庫(kù)系統(tǒng)的數(shù)據(jù)安全性和完整性。本文主要主要介紹如何建立一個(gè)安全的MySQL系統(tǒng)，從系統(tǒng)內(nèi)部和外部網(wǎng)絡(luò)兩個(gè)角度，為你提供一個(gè)指南。
本文主要考慮下列安全性有關(guān)的問(wèn)題：
以下是你應(yīng)該保護(hù)的內(nèi)容：
% ls -ltotal 10148drwxrwxr-x 11 mysqladm wheel 1024 May 8 12:20 .drwxr-xr-x 22 root wheel 512 May 8 13:31 ..drwx------ 2 mysqladm mysqlgrp 512 Apr 16 15:57 menageriedrwxrwxr-x 2 mysqladm wheel 512 Jan 25 20:40 mysqldrwxrwxr-x 7 mysqladm wheel 512 Aug 31 1998 sql-benchdrwxrwxr-x 2 mysqladm wheel 1536 May 6 06:11 testdrwx------ 2 mysqladm mysqlgrp 1024 May 8 18:43 tmp.... |
讓我們來(lái)修正這些權(quán)限，使得只用服務(wù)器用戶可訪問(wèn)它們。你的主要保護(hù)工具來(lái)自于由UNIX文件系統(tǒng)本身提供的設(shè)置文件和目錄屬主和模式的工具。下面是我們要做的：
# chown mysqladm.mysqlgrp .
# find . -follow -type d -print | xargs chown mysqladm.mysqlgrp
% chmod -R go-rwx .
% find . -follow -type d -print | xargs chmod go-rwx
在完成這些設(shè)置后，你最終應(yīng)該得到下面的數(shù)據(jù)目錄權(quán)限：
% ls -ltotal 10148drwxrwx--- 11 mysqladm mysqlgrp 1024 May 8 12:20 .drwxr-xr-x 22 root wheel 512 May 8 13:31 ..drwx------ 2 mysqladm mysqlgrp 512 Apr 16 15:57 menageriedrwx------ 2 mysqladm mysqlgrp 512 Jan 25 20:40 mysqldrwx------ 7 mysqladm mysqlgrp 512 Aug 31 1998 sql-benchdrwx------ 2 mysqladm mysqlgrp 1536 May 6 06:11 testdrwx------ 2 mysqladm mysqlgrp 1024 May 8 18:43 tmp.... |
關(guān)于如何管理用戶賬號(hào)，見(jiàn)《MySQL的用戶管理》。而對(duì)GRANT和REVOKE語(yǔ)句詳細(xì)描述，見(jiàn)《MySQL參考手冊(cè)》。
通過(guò)網(wǎng)絡(luò)連接服務(wù)器的客戶對(duì)MySQL數(shù)據(jù)庫(kù)的訪問(wèn)由授權(quán)表內(nèi)容來(lái)控制。這些表位于mysql數(shù)據(jù)庫(kù)中，并在第一次安裝MySQL的過(guò)程中初始化（運(yùn)行mysql_install_db腳本）。授權(quán)表共有5個(gè)表：user、db、host、tables_priv和columns_priv。
| 表1 user、db和host授權(quán)表結(jié)構(gòu) | ||
訪問(wèn)范圍列 | ||
| user | db | host |
| Host | Host | Host |
| User | Db | Db |
| Password | User | |
| 數(shù)據(jù)庫(kù)/表權(quán)限列 | ||
| Alter_priv | Alter_priv | Alter_priv |
| Create_priv | Create_priv | Create_priv |
| Delete_priv | Delete_priv | Delete_priv |
| Drop_priv | Drop_priv | Drop_priv |
| Index_priv | Index_priv | Index_priv |
| Insert_priv | Insert_priv | Insert_priv |
| References_priv | References_priv | References_priv |
| Select_priv | Select_priv | Select_priv |
| Update_priv | Update_priv | Update_priv |
| File_priv | Grant_priv | Grant_priv |
| Grant_priv | ||
| Process_priv | ||
| Reload_priv | ||
| Shutdown_priv | ||
表2 tables_priv和columns_priv屬權(quán)表結(jié)構(gòu) | ||
| 訪問(wèn)范圍列 | ||
| tables_priv | columns_priv | |
| Host | Host | |
| Db | Db | |
| User | User | |
| Table_name | Table_name | |
| Column_name | ||
| 權(quán)限列 | ||
| Table_priv | Column_priv | |
授權(quán)表的內(nèi)容有如下用途：
tables_priv和columns_priv表在MySQL 3.22.11版引進(jìn)（與GRANT語(yǔ)句同時(shí)）。如果你有較早版本的MySQL，你的mysql數(shù)據(jù)庫(kù)將只有user、db和host表。如果你從老版本升級(jí)到3.22.11或更新，而沒(méi)有tables_priv和columns_priv表，運(yùn)行mysql_fix_privileges_tables腳本創(chuàng)建它們。
MySQL沒(méi)有rows_priv表，因?yàn)樗惶峁┯涗浖?jí)權(quán)限，例如，你不能限制用戶于表中包含特定列值的行。如果你確實(shí)需要這種能力，你必須用應(yīng)用編程來(lái)提供。如果你想執(zhí)行建議的記錄級(jí)鎖定，你可用GET_LOCK()函數(shù)做到。
授權(quán)表包含兩種列：決定一個(gè)權(quán)限何時(shí)運(yùn)用的范圍列和決定授予哪種權(quán)限的權(quán)限列。
授權(quán)表范圍列指定表中的權(quán)限何時(shí)運(yùn)用。每個(gè)授權(quán)表?xiàng)l目包含User和Host列來(lái)指定權(quán)限何時(shí)運(yùn)用于一個(gè)給定用戶從給定主機(jī)的連接。其他表包含附加的范圍列，如db表包含一個(gè)Db列指出權(quán)限運(yùn)用于哪個(gè)數(shù)據(jù)庫(kù)。類(lèi)似地，tables_priv和columns_priv表包含范圍字段，縮小范圍到一個(gè)數(shù)據(jù)庫(kù)中的特定表或一個(gè)表的特定列。
授權(quán)表還包含權(quán)限列，他們指出在范圍列中指定的用戶擁有何種權(quán)限。由MySQL支持的權(quán)限如下表所示。該表使用GRANT語(yǔ)句的權(quán)限名稱(chēng)。對(duì)于絕大多數(shù)在user、db和host表中的權(quán)限列的名稱(chēng)與GRANT語(yǔ)句中有明顯的聯(lián)系。如Select_priv對(duì)應(yīng)于SELECT權(quán)限。
下列權(quán)限運(yùn)用于數(shù)據(jù)庫(kù)和表上的操作。
你總是能看到或殺死你自己的線程。PROCESS權(quán)限賦予你對(duì)任何線程做這些事情的能力。
在user、db和host表中，每一個(gè)權(quán)限以一個(gè)單獨(dú)的列指定。這些列全部聲明為一個(gè)ENUM("N","Y")類(lèi)型，所以每個(gè)權(quán)的缺省值是“N”。在tables_priv和columns_priv中的權(quán)限以一個(gè)SET表示，它允許權(quán)限用一個(gè)單個(gè)列以任何組合指定。這兩個(gè)表比其他三個(gè)表更新，這就是為什么它們使用更有效的表示方式的原因。（有可能在未來(lái)，user、db和host表也用一個(gè)SET類(lèi)型表示。）
在tables_priv表中的Table_priv列被定義成：
SET('Select','Insert','Update','Delete','Create','Drop','Grant','References','Index','Alter')在coloums_priv表中的Column_priv列被定義成：
SET('Select','Insert','Update','References')列權(quán)限比表權(quán)限少，因?yàn)榱屑?jí)較少的權(quán)限有意義。例如你能創(chuàng)建一個(gè)表，但你不能創(chuàng)建一個(gè)孤立的列。
user表包含某些在其他授權(quán)表不存在的權(quán)限的列：File_priv、Process_priv、Reload_priv和Shutdown_priv。這些權(quán)限運(yùn)用于你讓服務(wù)器執(zhí)行的與任何特定數(shù)據(jù)庫(kù)或表不相關(guān)的操作。如允許一個(gè)用戶根據(jù)當(dāng)前數(shù)據(jù)庫(kù)是什么來(lái)關(guān)閉數(shù)據(jù)庫(kù)是毫無(wú)意義的。
在你使用MySQL時(shí)，客戶訪問(wèn)控制有兩個(gè)階段。第一階段發(fā)生在你試圖連接服務(wù)器時(shí)。服務(wù)器查找user表看它是否能找到一個(gè)條目匹配你的名字、你正在從那兒連接的主機(jī)和你提供的口令。如果沒(méi)有匹配，你就不能連接。如果有一個(gè)匹配，建立連接并繼續(xù)第二階段。在這個(gè)階段，對(duì)于每一個(gè)你發(fā)出的查詢，服務(wù)器檢查授權(quán)表看你是否有足夠的權(quán)限執(zhí)行查詢，第二階段持續(xù)到你與服務(wù)器對(duì)話的結(jié)束。
本小節(jié)詳細(xì)介紹MySQL服務(wù)器用于將授權(quán)表?xiàng)l目匹配到來(lái)的連接請(qǐng)求或查詢的原則，這包括在授權(quán)表范圍列中合法的值的類(lèi)型、結(jié)合授權(quán)表中的權(quán)限信息的方式和表中條目被檢查的次序。
一些范圍列要求文字值，但它們大多數(shù)允許通配符或其他特殊值。
你也可以用通配符指定Host值。可以使用SQL的模式字符“%”和“_”并具有當(dāng)你在一個(gè)查詢中使用LIKE算符同樣的含義（不允許regex算符）。 SQL模式字符都能用于主機(jī)名和IP地址。如%wisc.edu匹配任何wisc.edu域內(nèi)的主機(jī)，而%.edu匹配任何教育學(xué)院的主機(jī)。類(lèi)似地，192.168.%匹配任何在192.168 B類(lèi)子網(wǎng)的主機(jī)，而192.168.3.%匹配任何在192.168.3 C類(lèi)子網(wǎng)的主機(jī)。
%值匹配所有主機(jī)，并可用于允許一個(gè)用戶從任何地方連接。一個(gè)空白的Host值等同于%。（例外：在db表中，一個(gè)空白Host值含義是“進(jìn)一步檢查host表”，該過(guò)程在“查詢?cè)L問(wèn)驗(yàn)證”中介紹。）
從MySQL 3.23起，你也可以指定帶一個(gè)表明那些為用于網(wǎng)絡(luò)地址的網(wǎng)絡(luò)掩碼的IP地址，如192.168.128.0/17指定一個(gè)17位網(wǎng)絡(luò)地址并匹配其IP地址是192.168.128前17位的任何主機(jī)。
用戶名必須是文字的或空白。一個(gè)空白值匹配任何用戶。%作為一個(gè)User值不意味著空白，相反它匹配一個(gè)字面上的%名字，這可能不是你想要的。
當(dāng)一個(gè)到來(lái)的連接通過(guò)user表被驗(yàn)證而匹配的記錄包含一個(gè)空白的User值，客戶被認(rèn)為是一個(gè)匿名用戶。
口令值可以是空或非空，不允許用通配符。一個(gè)空口令不意味著匹配任何口令，它意味著用戶必須不指定口令。
口令以一個(gè)加密過(guò)的值存儲(chǔ)，不是一個(gè)字面上的文本。如果你在Password列中存儲(chǔ)一個(gè)照字面上的口令，用戶將不能連接！GRANT語(yǔ)句和mysqladmin password命令為你自動(dòng)加密口令，但是如果你用諸如INSERT、REPLACE、UPDATE或SET PASSWORD等命令，一定要用PASSWORD("new_password")而不是簡(jiǎn)單的"new_password"來(lái)指定口令。
某些范圍列被服務(wù)器視為大小寫(xiě)敏感的，其余不是。這些原則總結(jié)在下表中。特別注意Table_name值總是被看作大小寫(xiě)敏感的，即使在查詢中的表名的大小寫(xiě)敏感性對(duì)待視服務(wù)器運(yùn)行的主機(jī)的文件系統(tǒng)而定（UNIX下是大小寫(xiě)敏感，而Windows不是）。
| 表3 授權(quán)表范圍列的大小寫(xiě)敏感性 | |
| 列 Host | 大小寫(xiě)敏感性 No |
每次你發(fā)出一個(gè)查詢，服務(wù)器檢查你是否有足夠的權(quán)限執(zhí)行它，它以u(píng)ser、db、tables_priv和columns_priv的順序檢查，知道它確定你有適當(dāng)?shù)脑L問(wèn)權(quán)限或已搜索所有表而一無(wú)所獲。更具體的說(shuō)：
user OR tables_priv OR columns_priv
你可能疑惑為什么前面的描述只引用4個(gè)授權(quán)表，而實(shí)際上有5個(gè)。實(shí)際上服務(wù)器是這樣檢查訪問(wèn)權(quán)限：
user OR (db AND host) OR tables_priv OR columns_priv
第一個(gè)較簡(jiǎn)單的表達(dá)式是因?yàn)閔ost表不受GRANT和REVOKE語(yǔ)句影響。如果你總是用GRANT和REVOKE管理用戶權(quán)限，你絕不需要考慮host表。但是其工作原理你用該知道：
前面的描述毫無(wú)疑問(wèn)使訪問(wèn)檢查聽(tīng)起來(lái)一個(gè)相當(dāng)復(fù)雜的過(guò)程，特別是你以為服務(wù)器對(duì)你發(fā)出的每個(gè)查詢進(jìn)行權(quán)限檢查，然而此過(guò)程是很快的，因?yàn)榉?wù)器其實(shí)不從授權(quán)表對(duì)每個(gè)查詢查找信息，相反，它在啟動(dòng)時(shí)將表的內(nèi)容讀入內(nèi)存，然后驗(yàn)證查詢用的是內(nèi)存中的副本。這大大提高了訪問(wèn)檢查操作的性能。但有一個(gè)非常明顯的副作用。如果你直接修改授權(quán)表的內(nèi)容，服務(wù)器將不知道權(quán)限的改變。
例如，如果你用一條INSERT語(yǔ)句向user表加入一個(gè)新記錄來(lái)增加一個(gè)新用戶，命名在記錄中的用戶將不能連接服務(wù)器。這對(duì)管理員新手（有時(shí)對(duì)有經(jīng)驗(yàn)的老手）是很困惑的事情，當(dāng)時(shí)解決方法很簡(jiǎn)單：在你改變了它們之后告訴服務(wù)器重載授權(quán)表內(nèi)容，你可以發(fā)一條FLUSH PRIVILEGES或執(zhí)行mysqladmin flush-privileges（或如果你有一個(gè)不支持flush-privileges的老版本，用mysqladmin reload。）。
MySQL服務(wù)器按一種特定方式排序符授權(quán)表中的記錄，然后通過(guò)按序?yàn)g覽記錄匹配到來(lái)的連接。找到的第一個(gè)匹配決定了被使用的記錄。理解MySQL使用的排序順序很重要，特別是對(duì)user表。
當(dāng)服務(wù)器讀取user表內(nèi)容時(shí)，它根據(jù)在Host和User列中的值排序記錄，Host值起決定作用（相同的Host值排在一起，然后再根據(jù)User值排序）。然而，排序不是典序（按詞排序），它只是部分是。要牢記的是字面上的詞優(yōu)先于模式。這意味著如果你正從client.your.net連接服務(wù)器而Host有client.your.net和%.your.net兩個(gè)值，則第一個(gè)先選。類(lèi)似地，%.your.net優(yōu)先于%.net，然后是%。IP地址的匹配也是這樣的。
總之一句話，越具體越優(yōu)先?？梢詤⒁?jiàn)本文附錄的實(shí)例。
本屆介紹一些在你授權(quán)時(shí)的一些預(yù)防措施，以及不明值的選擇帶來(lái)的風(fēng)險(xiǎn)。一般地，你要很“吝嗇”地授予超級(jí)用戶權(quán)限，即不要啟用user表中條目中的權(quán)限，而使用其它授權(quán)表，以將用戶權(quán)限限制于數(shù)據(jù)庫(kù)、表、或列。在user表中的權(quán)限允許于影響到你的服務(wù)器操作或能訪問(wèn)任何數(shù)據(jù)庫(kù)中的任何表。
不要授予對(duì)mysql數(shù)據(jù)庫(kù)的權(quán)限。一個(gè)擁有包含授權(quán)表數(shù)據(jù)庫(kù)權(quán)限的用戶可能會(huì)修改表以獲取對(duì)其他任何數(shù)據(jù)庫(kù)的權(quán)限。授予允許一個(gè)用戶修改mysql數(shù)據(jù)庫(kù)表的權(quán)限也實(shí)際上給了用戶以一個(gè)全局GRANT權(quán)限。如果用戶能直接修改表，這也等價(jià)于能夠發(fā)出任何你能想象的任何GRANT語(yǔ)句。
FILE權(quán)限尤其危險(xiǎn)，不要輕易授權(quán)它。以下是一個(gè)擁有FILE權(quán)限的人能干除的事情：
CREATE TABLE etc_passwd (pwd_entry TEXT); LOAD DATA INFILE "/etc/passwd" into TABLE etc_passwd; SELECT * FROM etc_passwd;在發(fā)出這些語(yǔ)句后，用戶已經(jīng)擁有了你的口令文件的內(nèi)容了。實(shí)際上，服務(wù)器上任何公開(kāi)可讀文件的內(nèi)容都可被擁有FILE權(quán)限的用戶通過(guò)網(wǎng)絡(luò)訪問(wèn)。
FILE權(quán)限也能被利用來(lái)危害沒(méi)有設(shè)置足夠權(quán)限制的文件權(quán)限的系統(tǒng)上的數(shù)據(jù)庫(kù)。這就是你為什么應(yīng)該設(shè)置數(shù)據(jù)目錄只能由服務(wù)器讀取的原因。如果對(duì)應(yīng)于數(shù)據(jù)庫(kù)表的文件可被任何人讀取，不只是用戶服務(wù)器賬號(hào)的用戶可讀，任何有FILE權(quán)限的用戶也可通過(guò)網(wǎng)絡(luò)連接并讀取它們。下面演示這個(gè)過(guò)程：
ALTER權(quán)限能以不希望的方式使用。假定你想讓user1可以訪問(wèn)table1但不能訪問(wèn)tables2。一個(gè)擁有ALTER權(quán)限的用戶可以通過(guò)使用ALTER TABLE將table2改名為table1來(lái)偷梁換柱。
當(dāng)心GRANT權(quán)限。兩個(gè)由不同權(quán)限但都有GRANT權(quán)限的用戶可以使彼此的權(quán)利更強(qiáng)大。
如果你有一個(gè)早于3.22.11的MySQL版本，你不能使用GRANT（或REVOKE）語(yǔ)句設(shè)置用戶及其訪問(wèn)權(quán)限，但你可以直接修改授權(quán)表的內(nèi)容。如果你理解GRANT語(yǔ)句如何修改授權(quán)表，這很容易。那么你通過(guò)手工發(fā)出INSERT語(yǔ)句就能自己做同樣的事情。
當(dāng)你發(fā)出一條GRANT語(yǔ)句時(shí)，你指定一個(gè)用戶名和主機(jī)名，可能還有口令。對(duì)該用戶生成一個(gè)user表記錄，并且這些值記錄在User、Host和Password列中。如果你在GRANT語(yǔ)句中指定全局權(quán)限，這些權(quán)限記錄在記錄的權(quán)限列中。其中要留神的是GRANT語(yǔ)句為你加密口令，而INSERT不是，你需要在INSERT中使用PASSWORD()函數(shù)加密口令。
如果你指定數(shù)據(jù)庫(kù)級(jí)權(quán)限，用戶名和主機(jī)名被記錄在db表的User和Host列。你為其授權(quán)的數(shù)據(jù)庫(kù)記錄在Db列中，你授予的權(quán)限記錄在權(quán)限列中。
對(duì)于表級(jí)和列級(jí)權(quán)限，效果是類(lèi)似的。在tables_priv和columns_priv表中創(chuàng)建記錄以記錄用戶名、主機(jī)名和數(shù)據(jù)庫(kù)，還有相關(guān)的表和列。授予的權(quán)限記錄在權(quán)限列中。
如果你還記得前面的介紹，你應(yīng)該能即使不用GRANT語(yǔ)句也能做GRANT做的事情。記住在你直接修改授權(quán)表時(shí)，你將通知服務(wù)器重載授權(quán)表，否則他不知道你的改變。你可以執(zhí)行一個(gè)mysqladmin flush-privileges或mysqladmin reload命令強(qiáng)迫一個(gè)重載。如果你忘記做這個(gè)，你會(huì)疑惑為什么服務(wù)器不做你想做的事情。
下列GRANT語(yǔ)句創(chuàng)建一個(gè)擁有所有權(quán)的超級(jí)用戶。包括授權(quán)給別人的能力：
GRANT ALL ON *.* TO anyname@localhost IDENTIFIED BY "passwd" WITH GRANT OPTION該語(yǔ)句將在user表中為anyname@localhost創(chuàng)建一個(gè)記錄，打開(kāi)所有權(quán)限，因?yàn)檫@里是超級(jí)用戶（全局）權(quán)限存儲(chǔ)的地方，要用INSERT語(yǔ)句做同樣的事情，語(yǔ)句是：
INSERT INTO user VALUES("localhost","anyname",PASSWORD("passwd"), "Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y")你可能發(fā)現(xiàn)它不工作，這要看你的MySQL版本。授權(quán)表的結(jié)構(gòu)已經(jīng)改變而且你在你的user表可能沒(méi)有14個(gè)權(quán)限列。用SHOW COLUMNS找出你的授權(quán)表包含的每個(gè)權(quán)限列，相應(yīng)地調(diào)整你的INSERT語(yǔ)句。 下列GRANT語(yǔ)句也創(chuàng)建一個(gè)擁有超級(jí)用戶身份的用戶，但是只有一個(gè)單個(gè)的權(quán)限：
GRANT RELOAD ON *.* TO flush@localhost IDENTIFIED BY "flushpass"本例的INSERT語(yǔ)句比前一個(gè)簡(jiǎn)單，它很容易列出列名并只指定一個(gè)權(quán)限列。所有其它列將設(shè)置為缺省的"N"：
INSERT INTO user (Host,Password,Reload) VALUES("localhost","flush",PASSWORD("flushpass"),"Y")數(shù)據(jù)庫(kù)級(jí)權(quán)限用一個(gè)ON db_name.*子句而不是ON *.*進(jìn)行授權(quán)：
GRANT ALL ON sample.* TO boris@localhost IDENTIFIED BY "ruby"這些權(quán)限不是全局的，所以它們不存儲(chǔ)在user表中，我們?nèi)匀恍枰趗ser表中創(chuàng)建一條記錄（使得用戶能連接），但我們也需要?jiǎng)?chuàng)建一個(gè)db表記錄記錄數(shù)據(jù)庫(kù)集權(quán)限：
INSERT INTO user (Host,User,Password) VALUES("localhost","boris",PASSWORD("ruby"))
INSERT INTO db VALUES("localhost","sample_db","boris","Y","Y","Y","Y","Y","Y","N","Y","Y","Y")
"N"列是為GRANT權(quán)限；對(duì)末尾的一個(gè)數(shù)據(jù)庫(kù)級(jí)具有WITH GRANT OPTION的GRANT語(yǔ)句，你要設(shè)置該列為"Y"。
要設(shè)置表級(jí)或列級(jí)權(quán)限，你對(duì)tables_priv或columns_priv使用INSERT語(yǔ)句。當(dāng)然，如果你沒(méi)有GRANT語(yǔ)句，你將沒(méi)有這些表，因?yàn)樗鼈冊(cè)贛ySQL中同時(shí)出現(xiàn)。如果你確實(shí)有這些表并且為了某些原因想要手工操作它們，要知道你不能用單獨(dú)的列啟用權(quán)限。
你設(shè)置tables_priv.Table_priv或columns_priv.Column_priv列來(lái)設(shè)置包含你想啟用的權(quán)限值。例如，要對(duì)一個(gè)表啟用SELECT和INSERT權(quán)限，你要在相關(guān)的tables_priv的記錄中設(shè)置Table_priv為"Select,Insert"。
如果你想對(duì)一個(gè)擁有MySQL賬號(hào)的用戶修改權(quán)限，使用UPDATE而不是INSERT，不管你增加或撤銷(xiāo)權(quán)限都是這樣。要完全刪除一個(gè)用戶，從用戶使用的每個(gè)表中刪除記錄。
如果你愿意避免發(fā)一個(gè)查詢來(lái)直接修改全權(quán)表，你可以看一下MySQL自帶的mysqlaccess和mysql_setpermissions腳本。
GRANT ALL ON samp_db.* TO fred@*.snake.net IDENTIFIED "cocoa"
而fred碰巧在服務(wù)器主機(jī)上有個(gè)賬號(hào)，所以他試圖連接服務(wù)器：
%mysql -u fred -pcocoa samp_db
ERROR 1045: Access denied for user: 'fred@localhost' (Using password: YES)
為什么？
原因是： 先考慮一下mysql_install_db如何建立初始權(quán)限表和服務(wù)器如何使用user表記錄匹配客戶連接。在你用mysql_install_db初始化你的數(shù)據(jù)庫(kù)時(shí)，它創(chuàng)建類(lèi)似這樣的user表：
| Host | User |
| localhost pit.snake.net localhost pit.snake.net | root root |
頭兩個(gè)記錄允許root指定localhost或主機(jī)名連接本地服務(wù)器，后兩個(gè)允許匿名用戶從本地連接。當(dāng)增加fred用戶后，
| Host | User |
| localhost pit.snake.net localhost pit.snake.net %.snake.net | root root fred |
在服務(wù)器啟動(dòng)時(shí)，它讀取記錄并排序它們（首先按主機(jī)，然后按主機(jī)上的用戶），越具體越排在前面：
| Host | User |
| localhost localhost pit.snake.net pit.snake.net %.snake.net | root root fred |
有l(wèi)ocalhost的兩個(gè)記錄排在一起，而對(duì)root的記錄排在第一，因?yàn)樗瓤罩蹈唧w。pit.snake.net的記錄也類(lèi)似。所有這些均是沒(méi)有任何通配符的字面上的Host值，所以它們排在對(duì)fred記錄的前面，特別是匿名用戶排在fred之前。
結(jié)果是在fred試圖從localhost連接時(shí)，Host列中的一個(gè)空用戶名的記錄在包含%.snake.net的記錄前匹配。該記錄的口令是空的，因?yàn)槿笔〉哪涿脩魶](méi)有口令。因?yàn)樵趂red連接時(shí)指定了一個(gè)口令，由一個(gè)錯(cuò)配且連接失敗。
這里要記住的是，雖然用通配符指定用戶可以從其連接的主機(jī)是很方便。但你從本地主機(jī)連接時(shí)會(huì)有問(wèn)題，只要你在table表中保留匿名用戶記錄。
一般地，建議你刪除匿名用戶記錄：
mysql> DELETE FROM user WHERE User="";
更進(jìn)一步，同時(shí)刪除其他授權(quán)表中的任何匿名用戶，有User列的表有db、tables_priv和columns_priv。
在你自己安裝了一個(gè)新的MySQL服務(wù)器后，你需要為MySQL的root用戶指定一個(gè)目錄（缺省無(wú)口令），否則如果你忘記這點(diǎn)，你將你的MySQL處于極不安全的狀態(tài)（至少在一段時(shí)間內(nèi)）。
在Unix（Linux）上，在按照手冊(cè)的指令安裝好MySQL后，你必須運(yùn)行mysql_install_db腳本建立包含授權(quán)表的mysql數(shù)據(jù)庫(kù)和初始權(quán)限。在Windows上，運(yùn)行分發(fā)中的Setup程序初始化數(shù)據(jù)目錄和mysql數(shù)據(jù)庫(kù)。假定服務(wù)器也在運(yùn)行。
當(dāng)你第一次在機(jī)器上安裝MySQL時(shí)，mysql數(shù)據(jù)庫(kù)中的授權(quán)表是這樣初始化的：
% mysql -h localhost test
% mysql -h pit.snake.net test
你以root連接MySQL甚至不指定口令的事實(shí)只是意味著初始安裝不安全，所以作為管理員的你首先要做的應(yīng)該是設(shè)置root口令，然后根據(jù)你設(shè)置口令使用的方法，你也可以告訴服務(wù)器重載授權(quán)表是它知道這個(gè)改變。（在服務(wù)器啟動(dòng)時(shí)，它重載表到內(nèi)存中而可能不知道你已經(jīng)修改了它們。）
對(duì)MySQL 3.22和以上版本，你可以用mysqladmin設(shè)置口令：
% mysqladmin -u root password yourpassword
對(duì)于MySQL的任何版本，你可以用mysql程序并直接修改mysql數(shù)據(jù)庫(kù)中的user授權(quán)表：
% mysql -u root mysql
mysql>UPDATE user SET password=PASSWORD("yourpassword") WHERE User="root";
如果你有MySQL的老版本，使用mysql和UPDATE。
在你設(shè)置完口令后，通過(guò)運(yùn)行下列命令檢查你是否需要告訴服務(wù)器重載授權(quán)表：
% mysqladmin -u root status
如果服務(wù)器仍然讓你以root而不指定口令而連接服務(wù)器，重載授權(quán)表：
% mysqladmin -u root reload
在你設(shè)置了root的口令后（并且如果需要重載了授權(quán)表），你將需要在任何時(shí)候以root連接服務(wù)器時(shí)指定口令。
新聞熱點(diǎn)
疑難解答
網(wǎng)友關(guān)注
