第6章安全性

ALL ， ALL PRIVILEGES

这些权限说明符的简写 “ 可在给定的权限级别的所有权限 ” （除 GRANT OPTION ）。 例如， ALL 在全局或表级别授予分别授予所有全局特权或所有表级特权。

ALTER

允许使用该 ALTER TABLE 语句来更改表的结构。 ALTER TABLE 还需要 CREATE 和 INSERT 特权。 重命名表需要 ALTER 和 DROP 对旧表， CREATE 以及 INSERT 对新表。

ALTER ROUTINE

允许使用更改或删除存储例程（存储过程和函数）的语句。

CREATE

允许使用创建新数据库和表的语句。

CREATE ROLE

允许使用该 CREATE ROLE 语句。 （该 CREATE USER 权限还允许使用该 CREATE ROLE 语句。）请参见 第6.2.10节“使用角色” 。

在 CREATE ROLE 和 DROP ROLE 特权的不那么强大 CREATE USER ，因为它们只能用于创建和删除帐户。 它们不能用作 CREATE USER 修改帐户属性或重命名帐户。 请参阅 用户和角色互换性 。

CREATE ROUTINE

允许使用创建存储例程（存储过程和函数）的语句。

CREATE TABLESPACE

允许使用创建，更改或删除表空间和日志文件组的语句。

CREATE TEMPORARY TABLES

允许使用该 CREATE TEMPORARY TABLE 语句 创建临时表 。

会话创建临时表后，服务器不会对表执行进一步的权限检查。 所述创建会话可以在桌子上进行任何操作，例如 DROP TABLE ， INSERT ， UPDATE ，或 SELECT 。 有关更多信息，请参见 第13.1.20.3节“CREATE TEMPORARY TABLE语法” 。

CREATE USER

允许使用的 ALTER USER ， CREATE ROLE ， CREATE USER ， DROP ROLE ， DROP USER ， RENAME USER ，和 REVOKE ALL PRIVILEGES 语句。

CREATE VIEW

允许使用该 CREATE VIEW 语句。

DELETE

允许从数据库中的表中删除行。

DROP

允许使用删除（删除）现有数据库，表和视图的语句。 在分区表上 DROP 使用该 ALTER TABLE ... DROP PARTITION 语句 需要 该 特权 。 该 DROP 也需要特权 TRUNCATE TABLE 。

DROP ROLE

允许使用该 DROP ROLE 语句。 （该 CREATE USER 权限还允许使用该 DROP ROLE 语句。）请参见 第6.2.10节“使用角色” 。

在 CREATE ROLE 和 DROP ROLE 特权的不那么强大 CREATE USER ，因为它们只能用于创建和删除帐户。 它们不能用作 CREATE USER 修改帐户属性或重命名帐户。 请参阅 用户和角色互换性 。

EVENT

允许使用为事件调度程序创建，更改，删除或显示事件的语句。

EXECUTE

允许使用执行存储例程（存储过程和函数）的语句。

FILE

影响以下操作和服务器行为：

作为安全措施，服务器不会覆盖现有文件。

要限制可以读取和写入文件的位置，请将 secure_file_priv 系统变量设置为特定目录。 请参见 第5.1.8节“服务器系统变量” 。

GRANT OPTION

允许您向其他用户授予或撤消您自己拥有的权限。

INDEX

允许使用创建或删除（删除）索引的语句。 INDEX 适用于现有表格。 如果您拥有 CREATE 表 的 权限，则可以在 CREATE TABLE 语句中 包含索引定义 。

INSERT

允许将行插入数据库中的表。 INSERT 还需要对 ANALYZE TABLE ， OPTIMIZE TABLE 和 REPAIR TABLE 表维护语句。

LOCK TABLES

允许使用显式 LOCK TABLES 语句来锁定您具有该 SELECT 权限的表。 这包括使用写锁定，这可以防止其他会话读取锁定的表。

PROCESS

允许显示有关服务器内执行的线程的信息（即有关会话正在执行的语句的信息）。 该权限允许使用 SHOW PROCESSLIST 或 mysqladmin进程列表 来查看属于其他帐户的线程; 你总能看到自己的主题。 该 PROCESS 权限还可以使用 SHOW ENGINE 。

PROXY

允许一个用户模拟或被称为另一个用户。 请参见 第6.2.18节“代理用户” 。

REFERENCES

创建外键约束需要 REFERENCES 父表 的 权限。

RELOAD

允许使用该 FLUSH 语句。 这也使 中mysqladmin 等效于命令 FLUSH 操作： flush-hosts ， flush-logs ， flush-privileges ， flush-status ， flush-tables ， flush-threads ， refresh ，和 reload 。

该 reload 命令告诉服务器将授权表重新加载到内存中。 flush-privileges 是...的同义词 reload 。 该 refresh 命令将关闭并重新打开日志文件并刷新所有表。 其他 命令执行类似 但更具体的 功能 ，并且在某些情况下可能是优选的。 例如，如果要仅刷新日志文件， 则是比较好的选择 。 flush-xxx refresh flush-logs refresh

该 RELOAD 权限还允许使用 RESET MASTER 和 RESET SLAVE 语句。

REPLICATION CLIENT

允许使用的 SHOW MASTER STATUS ， SHOW SLAVE STATUS 和 SHOW BINARY LOGS 语句。 将此权限授予从服务器用于连接到当前服务器作为其主服务器的帐户。

REPLICATION SLAVE

启用请求已作出对数据库的主服务器上的更新，使用的帐户 SHOW SLAVE HOSTS ， SHOW RELAYLOG EVENTS 和 SHOW BINLOG EVENTS 语句。 使用 mysqlbinlog 选项 --read-from-remote-server （ -R ）和时， 也需要此权限 --read-from-remote-master 。 将此权限授予从服务器用于连接到当前服务器作为其主服务器的帐户。

SELECT

允许从数据库中的表中选择行。 只有在实际访问表时， SELECT 语句才需要该 SELECT 权限。 某些 SELECT 语句不访问表，并且可以在没有任何数据库许可的情况下执行。 例如，您可以使用 SELECT 简单的计算器来计算不引用表的表达式：

SELECT 1 + 1;
SELECT PI（）* 2;

SELECT 读取列值的其他语句也需要 该 特权。 例如， SELECT 需要用于上的右侧引用列 col_name = expr 赋值 UPDATE 语句或用于在指定的列 WHERE 的条款 DELETE 或 UPDATE 语句。

使用 SELECT 的表或视图需要特权 EXPLAIN ，包括视图定义中的任何基础表。

SHOW DATABASES

通过发出 SHOW DATABASE 语句 使帐户能够查看数据库名称 。 没有此权限的帐户只能看到具有某些权限的数据库，如果使用该 --skip-show-database 选项 启动服务器，则根本无法使用该语句 。

SHOW VIEW

允许使用该 SHOW CREATE VIEW 语句。 使用的视图也需要此权限 EXPLAIN 。

SHUTDOWN

允许使用 SHUTDOWN 和 RESTART 语句， mysqladmin shutdown 命令和 mysql_shutdown() C API函数。

SUPER

SUPER 是一种强大而深远的特权，不应轻视。 如果帐户只需要执行一部分 SUPER 操作，则可以通过授予一个或多个动态特权来实现所需的特权集，每个动态特权赋予更多有限的能力。 请参阅 动态权限说明 。

SUPER 影响以下操作和服务器行为：

SUPER 如果启用了二进制日志记录，则 可能还需要 创建或更改存储函数 的 权限，如 第24.7节“存储程序二进制日志记录”中所述 。

TRIGGER

启用触发器操作。 您必须拥有此表的权限才能创建，删除，执行或显示该表的触发器。

当触发器被激活（由谁拥有特权执行用户 INSERT ， UPDATE 或 DELETE 与触发器关联的表的语句），触发器执行要求谁定义触发器的用户仍然有 TRIGGER 对表的特权。

UPDATE

允许在数据库中的表中更新行。

USAGE

这个特权说明符代表 “ 没有特权。 “ 它在全局级别 GRANT 用于指定子句，例如 WITH GRANT OPTION 不在特权列表中命名特定帐户特权。 SHOW GRANTS 显示 USAGE 以指示帐户在特权级别没有特权。

APPLICATION_PASSWORD_ADMIN （在MySQL 8.0.14中添加）

对于双密码功能，此权限允许使用 适用于您自己帐户 的 RETAIN CURRENT PASSWORD 和 DISCARD OLD PASSWORD 子句 ALTER USER 以及 SET PASSWORD 语句。 需要此权限才能操作您自己的二级密码，因为大多数用户只需要一个密码。

如果允许某个帐户操作所有帐户的辅助密码，则应授予其 CREATE USER 权限，而不是 APPLICATION_PASSWORD_ADMIN 。

有关使用双密码的更多信息，请参见 第6.2.15节“密码管理” 。

AUDIT_ADMIN

启用审核日志配置。 此权限由 audit_log 插件 定义 ; 请参见 第6.4.5节“MySQL Enterprise Audit” 。

BACKUP_ADMIN

允许执行 LOCK INSTANCE FOR BACKUP 语句并访问Performance Schema log_status 表。

从早期版本执行就地升级到MySQL 8.0时， 该 BACKUP_ADMIN 权限会自动授予具有该 RELOAD 权限的 用户 。

BINLOG_ADMIN

通过 PURGE BINARY LOGS 和 BINLOG 语句 启用二进制日志控制 。

BINLOG_ENCRYPTION_ADMIN

启用设置系统变量 binlog_encryption ，该 变量 可激活或取消激活二进制日志文件和中继日志文件的加密。 这种能力不是由提供 BINLOG_ADMIN ， SYSTEM_VARIABLES_ADMIN 或 SESSION_VARIABLES_ADMIN 特权。 binlog_rotate_encryption_master_key_at_startup 重新启动服务器时自动旋转二进制日志主密钥 的相关系统变量 不需要此权限。

CONNECTION_ADMIN

允许使用 KILL statement或 mysqladmin kill 命令来终止属于其他帐户的线程。 （帐户总是可以杀死自己的线程。）

允许设置与客户端连接相关的系统变量，或绕过与客户端连接相关的限制。 CONNECTION_ADMIN 适用于这些系统变量的影响：

ENCRYPTION_KEY_ADMIN

启用 InnoDB 加密密钥轮换。

FIREWALL_ADMIN

允许用户管理任何用户的防火墙规则。 此权限由 MYSQL_FIREWALL 插件 定义 ; 请参见 第6.4.7节“MySQL Enterprise Firewall” 。

FIREWALL_USER

使用户能够更新自己的防火墙规则。 此权限由 MYSQL_FIREWALL 插件 定义 ; 请参见 第6.4.7节“MySQL Enterprise Firewall” 。

GROUP_REPLICATION_ADMIN

允许帐户使用 START GROUP REPLICATION 和 STOP GROUP REPLICATION 语句 启动和停止组复制 ，更改 group_replication_consistency 系统变量 的全局设置 以及使用 group_replication_set_write_concurrency() 和 group_replication_set_communication_protocol() UDF。 将此权限授予用于管理作为复制组成员的服务器的帐户。

PERSIST_RO_VARIABLES_ADMIN

对于也拥有的用户 SYSTEM_VARIABLES_ADMIN ， PERSIST_RO_VARIABLES_ADMIN 可以使用 SET PERSIST_ONLY 将全局系统变量持久保存到 mysqld-auto.cnf 数据目录中 的 选项文件。 此语句类似于 SET PERSIST 但不修改运行时全局系统变量值。 这 SET PERSIST_ONLY 适用于配置只能在服务器启动时设置的只读系统变量。

另请参见 第5.1.9.1节“系统变量权限” 。

REPLICATION_SLAVE_ADMIN

允许帐户连接到主服务器，使用 START SLAVE 和 STOP SLAVE 语句 启动和停止复制 ，并使用 CHANGE MASTER TO 和 CHANGE REPLICATION FILTER 语句。 将此权限授予从服务器用于连接到当前服务器作为其主服务器的帐户。 此权限不适用于组复制; 使用 GROUP_REPLICATION_ADMIN 了点。

RESOURCE_GROUP_ADMIN

启用资源组管理，包括创建，更改和删除资源组，以及将线程和语句分配给资源组。 具有此权限的用户可以执行与资源组相关的任何操作。

RESOURCE_GROUP_USER

允许将线程和语句分配给资源组。 具有此权限的用户可以使用该 SET RESOURCE GROUP 语句和 RESOURCE_GROUP 优化程序提示。

ROLE_ADMIN

允许授予和撤消角色，使用 语句 的 WITH ADMIN OPTION 子句 GRANT 以及 函数 <graphml> 结果中的 非空 元素内容 ROLES_GRAPHML() 。 需要设置 mandatory_roles 系统变量 的值 。

SERVICE_CONNECTION_ADMIN

启用与仅允许管理连接的网络接口的连接（请参见 第8.12.4.1节“MySQL如何处理客户端连接” ）。

SESSION_VARIABLES_ADMIN （在MySQL 8.0.14中添加）

对于大多数系统变量，设置会话值不需要特殊权限，任何用户都可以使用它来影响当前会话。 对于某些系统变量，设置会话值可能会在当前会话之外产生影响，因此是受限制的操作。 对于这些，该 SESSION_VARIABLES_ADMIN 权限使用户能够设置会话值。

如果系统变量受限制并且需要特殊权限来设置会话值，则变量说明指示该限制。 实例包括 binlog_format ， sql_log_bin ，和 sql_log_off 。

在添加MySQL 8.0.14之前， SESSION_VARIABLES_ADMIN 只有具有 SYSTEM_VARIABLES_ADMIN 或 SUPER 特权的 用户才能设置受限制的会话系统变量 。

该 SESSION_VARIABLES_ADMIN 特权的一个子集 SYSTEM_VARIABLES_ADMIN 和 SUPER 特权。 具有这些特权之一的用户也被允许设置受限制的会话变量，并且有效地 SESSION_VARIABLES_ADMIN 暗示并且不需要 SESSION_VARIABLES_ADMIN 明确 授予 。

另请参见 第5.1.9.1节“系统变量权限” 。

SET_USER_ID

允许在执行视图或存储程序时设置有效的授权ID。 具有此权限的用户可以在 DEFINER 视图或存储程序 的 属性中 指定任何帐户 。

SYSTEM_USER （在MySQL 8.0.16中添加）

该 SYSTEM_USER 权限将系统用户与普通用户区分开来：

该 SYSTEM_USER 权限对给定用户可以应用其他权限的帐户有影响，以及用户是否受到其他帐户的保护：

有关更多信息，请参见 第6.2.11节“帐户类别” 。

通过 SYSTEM_USER 特权 提供给系统帐户的常规帐户的修改保护 不适用于具有 mysql 系统模式 特权的常规帐户， 因此可以直接修改该模式中的授权表。 要获得完全保护，请不要 mysql 向常规帐户 授予 架构权限。 请参阅 通过常规帐户保护系统帐户免受操纵 。

SYSTEM_VARIABLES_ADMIN

影响以下操作和服务器行为：

TABLE_ENCRYPTION_ADMIN （在MySQL 8.0.16中添加）

启用后，允许用户覆盖默认加密设置 table_encryption_privilege_check ; 请参阅 为架构和常规表空间定义加密默认值 。

VERSION_TOKEN_ADMIN

允许执行版本标记用户定义的函数。 此权限由 version_tokens 插件 定义 ; 请参见 第5.6.6节“版本标记” 。

XA_RECOVER_ADMIN

允许执行 XA RECOVER 语句; 请参见 第13.3.8.1节“XA事务SQL语法” 。

在MySQL 8.0之前，任何用户都可以执行该 XA RECOVER 语句来发现未完成的准备好的XA事务的XID值，这可能导致由启动它的用户以外的用户提交或回滚XA事务。 在MySQL 8.0中， XA RECOVER 只允许拥有该用户的用户使用 XA_RECOVER_ADMIN 特权，预计仅授予需要它的管理用户。 例如，如果XA应用程序的管理员崩溃并且有必要查找应用程序启动的未完成事务以便可以回滚它们，则可能就是这种情况。 此权限要求可防止用户发现除自己以外的未完成的准备XA事务的XID值。 它不会影响XA事务的正常提交或回滚，因为启动它的用户知道它的XID。

FILE 可以滥用MySQL服务器可以在服务器主机上读取的任何文件来读入数据库表。 这包括服务器数据目录中的所有世界可读文件和文件。 然后可以使用该表 SELECT 将其内容传输到客户端主机 来访问该表 。

GRANT OPTION 使用户能够将其权限授予其他用户。 具有不同权限和权限的两个用户 GRANT OPTION 可以组合权限。

ALTER 可用于通过重命名表来破坏权限系统。

SHUTDOWN 可以滥用通过终止服务器完全拒绝向其他用户提供服务。

PROCESS 可用于查看当前正在执行的语句的纯文本，包括设置或更改密码的语句。

SUPER 可用于终止其他会话或更改服务器的运行方式。

为 mysql 系统数据库本身 授予的权限 可用于更改密码和其他访问权限信息：

静态特权内置于服务器中。 它们始终可以授予用户帐户，并且无法取消注册。

动态特权可以在运行时注册和取消注册。 这会影响其可用性：无法授予尚未注册的动态权限。

服务器自动注册 global_grants 在服务器启动期间 命名的权限 （除非 --skip-grant-tables 给出选项）。

该 GRANT 和 REVOKE 语句修改的内容 global_grants 。

列出的动态权限分配 global_grants 是持久的。 服务器关闭时不会删除它们。

GRANT ALL 在全局级别授予所有静态全局特权和所有当前注册的动态特权。 在执行该 GRANT 语句 之后注册的动态权限 不会追溯授予任何帐户。

REVOKE ALL 在全局级别撤消所有授予的静态全局特权和所有授予的动态特权。

user ：用户帐户，静态全局权限和其他非特权列。

global_grants ：动态全局权限。

db ：数据库级权限。

tables_priv ：表级权限。

columns_priv ：列级权限。

procs_priv ：存储过程和功能权限。

proxies_priv ：代理用户权限。

default_roles ：默认用户角色。

role_edges ：角色子图的边缘。

password_history ：密码更改历史记录。

范围列确定表中每行​​的范围; 也就是说，行适用的上下文。 例如，一个 user 表行，其中包含 Host 和 User 值， 'h1.example.net' 并且 'bob' 适用于 h1.example.net 由指定用户名的客户端 从主机对服务器进行的身份验证的连接 bob 。 类似地， db 表行包含 Host ， User 和 Db 列值 'h1.example.net' ， 'bob' 并 'reports' 在 bob 从主机连接 h1.example.net 到访问 reports 数据库时应用。 该 tables_priv 和 columns_priv 表包含范围列，指示每行适用的表或表/列组合。 该 procs_priv 范围列表示存储程序到各行适用。

权限列指示表行授予的权限; 也就是说，它允许执行哪些操作。 服务器将各种授权表中的信息组合在一起，形成用户权限的完整描述。 第6.2.7节“访问控制，第2阶段：请求验证” ，描述了相关规则。

的 user 表范围列确定是否拒绝或允许传入连接。 对于允许的连接， user 表中 授予的任何权限都 表示用户的静态全局权限。 此表中授予的任何权限 都 适用于 服务器上的 所有 数据库。

该 global_grants 表列出了当前对用户帐户的动态全局权限的分配。 对于每一行，作用域列确定哪个用户具有在权限列中指定的权限。

该 db 表范围列决定哪些用户可以访问哪些数据库从哪个主机。 权限列确定允许的操作。 在数据库级别授予的权限适用于数据库和数据库中的所有对象，例如表和存储的程序。

在 tables_priv 与 columns_priv 表类似于 db 表，但是更精致：他们在申请表和列级应用而非在数据库级。 表级别授予的权限适用于表及其所有列。 在列级别授予的权限仅适用于特定列。

该 procs_priv 表适用于存储的例程（存储过程和函数）。 在例程级别授予的权限仅适用于单个过程或函数。

该 proxies_priv 表指示哪些用户可以充当其他用户的代理以及用户是否可以将该 PROXY 特权 授予 其他用户。

在 default_roles 与 role_edges 表包含角色关系的信息。

该 password_history 表保留以前选择的密码以启用密码重用限制。 请参见 第6.2.15节“密码管理” 。