在實(shí)際生產(chǎn)中，為了保證數(shù)據(jù)的安全，數(shù)據(jù)庫管理人員需要為不同的操作人員分配不同的權(quán)限，限制登錄MySQL服務(wù)器的用戶只能在其權(quán)限范圍內(nèi)操作。同時管理員還可以根據(jù)不同的情況為用戶授予權(quán)限或撤銷權(quán)限，從而控制操作人員的權(quán)限。

MySQL權(quán)限

MySQL的權(quán)限系統(tǒng)分為以下三個不同的層級：

• 全局性的權(quán)限：針對整個mysql實(shí)例。
• 數(shù)據(jù)庫級別的權(quán)限：針對某個具體的MySQL數(shù)據(jù)庫。
• 對象級別的權(quán)限：針對MySQL數(shù)據(jù)庫中某個具體的數(shù)據(jù)庫對象，如：表、表中的列、存儲過程和存儲函數(shù)等。

MySQL中的權(quán)限信息根據(jù)其作用范圍分別存儲在名稱為mysql的數(shù)據(jù)庫的不同表中。當(dāng)MySQL啟動時會自動加載這些權(quán)限信息，并且將這些權(quán)限信息讀取到內(nèi)存中。

系統(tǒng)表名稱	描述
user	保存用戶賬號信息和全局權(quán)限信息
db	保存數(shù)據(jù)庫級別的權(quán)限信息
tables_priv	保存表級別的權(quán)限信息
columns_priv	保存列級別的權(quán)限信息
procs_priv	保存存儲過程和存儲函數(shù)相關(guān)的權(quán)限信息
proxies_priv	保存代理用戶的權(quán)限信息

查看用戶的權(quán)限：

mysql> show grants for username@hostname;

MySQL權(quán)限可以分為數(shù)據(jù)權(quán)限、結(jié)構(gòu)權(quán)限、管理權(quán)限。管理員可以為用戶授予或撤銷權(quán)限。

分類	權(quán)限名稱	權(quán)限級別	描述
數(shù)據(jù)權(quán)限	INSERT	全局、數(shù)據(jù)庫、表、列	允許插入數(shù)據(jù)
數(shù)據(jù)權(quán)限	DELETE	全局、數(shù)據(jù)庫、表	允許刪除數(shù)據(jù)
數(shù)據(jù)權(quán)限	UPDATE全局、數(shù)據(jù)庫、表、列		允許更新數(shù)據(jù)
數(shù)據(jù)權(quán)限	SELECT	全局、數(shù)據(jù)庫、表、列	允許訪問數(shù)據(jù)
數(shù)據(jù)權(quán)限	SHOW DATABASES	全局	允許查看已存在的數(shù)據(jù)庫
數(shù)據(jù)權(quán)限	SHOW VIEW	全局、數(shù)據(jù)庫、表	允許查看已有視圖的視圖定義
數(shù)據(jù)權(quán)限	PROCESS	全局	允許查看正在運(yùn)行的線程
結(jié)構(gòu)權(quán)限	CREATE	全局、數(shù)據(jù)庫、表	允許創(chuàng)建數(shù)據(jù)庫和表
結(jié)構(gòu)權(quán)限	DROP	全局、數(shù)據(jù)庫、表	允許刪除數(shù)據(jù)庫、表和視圖
結(jié)構(gòu)權(quán)限	CREATE ROUTINE	全局、數(shù)據(jù)庫	允許創(chuàng)建存儲過程
結(jié)構(gòu)權(quán)限	CREATE TABLESPACE	全局	允許創(chuàng)建、修改或刪除表空間和日志組件
結(jié)構(gòu)權(quán)限	CREATE TEMPORARY TABLES	全局、數(shù)據(jù)庫	允許創(chuàng)建臨時表
結(jié)構(gòu)權(quán)限	CREATE VIEW	全局、數(shù)據(jù)庫、表	允許創(chuàng)建和修改視圖
結(jié)構(gòu)權(quán)限	ALTER	全局、數(shù)據(jù)庫、表	允許修改數(shù)據(jù)表
結(jié)構(gòu)權(quán)限	ALTER ROUTINE	全局、數(shù)據(jù)庫、存儲過程	允許修改或刪除存儲過程
結(jié)構(gòu)權(quán)限	INDEX	全局、數(shù)據(jù)庫、表	允許創(chuàng)建和刪除索引
結(jié)構(gòu)權(quán)限	TRIGGER	全局、數(shù)據(jù)庫、表	允許觸發(fā)器的所有操作
結(jié)構(gòu)權(quán)限	REFERENCES	全局、數(shù)據(jù)庫、表、列	允許創(chuàng)建外鍵
管理權(quán)限	SUPER	全局	允許使用其他管理操作，如CHANGE MASTER TO等
管理權(quán)限	CREATE USER	全局	CREATE USER、DROP USER、RENAME USER和REVOKE ALL PRIVILEGES
管理權(quán)限	GRANT OPTION	全局	允許授予或刪除用戶權(quán)限
管理權(quán)限	RELOAD	全局	FLUSH操作
管理權(quán)限	PROXY		與被代理的用戶權(quán)限相同
管理權(quán)限	REPLICATION CLIENT	全局	允許用戶訪問主服務(wù)器或從服務(wù)器
管理權(quán)限	REPLICATION SLAVE	全局	允許復(fù)制從服務(wù)器讀取主服務(wù)器二進(jìn)制日志事件
管理權(quán)限	SHUTDOWN	全局	允許使用mysqladmin shutdown
管理權(quán)限	LOCK TABLES	全局、數(shù)據(jù)庫	允許使用LOCK TABLES鎖定擁有SELECT權(quán)限的數(shù)據(jù)庫

權(quán)限級別指權(quán)限可以被應(yīng)用在哪些數(shù)據(jù)庫內(nèi)容中。
例如，SELECT權(quán)限級別是指SELECT權(quán)限可以被授予到全局（任意數(shù)據(jù)庫下的任意內(nèi)容）、數(shù)據(jù)庫（指定數(shù)據(jù)庫下的任意內(nèi)容）、表（指定數(shù)據(jù)庫下的指定數(shù)據(jù)庫表）、列（指定數(shù)據(jù)庫下的指定數(shù)據(jù)表中的指定字段）。

授予權(quán)限

基本語法：

GRANT 權(quán)限名稱[(字段列表)][, 權(quán)限名稱[(字段列表)] ... ] ON 權(quán)限級別TO 'username'@'hostname' [, 'username'@'hostname' ... ] [WITH with_option]

• 權(quán)限名稱：上表中的權(quán)限名稱
• 字段列表：表示權(quán)限設(shè)置到哪些字段上。同時給多個字段設(shè)置同一個權(quán)限時，多個字段名之間使用逗號分隔。如果不指定字段，則設(shè)置的權(quán)限作用于整個表。
• 權(quán)限級別：上表中的權(quán)限級別，可以使用下面四種寫法
  • *.*：表示全局級別的權(quán)限，即授予的權(quán)限適用于所有數(shù)據(jù)庫和數(shù)據(jù)庫表。
  • *：如果當(dāng)前未選擇數(shù)據(jù)庫，表示全局級別的權(quán)限；如果當(dāng)前選擇了數(shù)據(jù)庫，則為當(dāng)前選擇的數(shù)據(jù)庫授予權(quán)限。
  • 數(shù)據(jù)庫名.*：表示數(shù)據(jù)庫級別的權(quán)限，即授予的權(quán)限適用于指定數(shù)據(jù)庫中的所有表。
  • 數(shù)據(jù)庫名.表：表示表級別的權(quán)限。如果不指定將授予權(quán)限的字段，則授予的權(quán)限適用于指定數(shù)據(jù)庫的指定表中的所有列。
• TO子句用于指定一個或多個用戶。
• with_option的取值有5個：GRANT OPTION、MAX_QUERIES_PER_HOUR count、MAX_UPDATES_PER_HOUR count、MAX_CONNECTIONS_PER_HOUR count、MAX_USER_CONNECTIONS。

查看權(quán)限

tables_priv保存表級別的權(quán)限信息，columns_priv保存列級別的權(quán)限信息，管理員可以直接查詢表看到用戶的權(quán)限信息。也可以使用SHOW GRANTS語句查看用戶權(quán)限?；菊Z法：

SHOW GRANTS FOR 'username'@'hostname';

撤銷權(quán)限

為保證數(shù)據(jù)庫的安全，對于用戶一些不必要的權(quán)限應(yīng)該及時撤銷。MySQL提供了REVOKE語句用于撤銷用戶的權(quán)限，其基本語法：

REVOKE 權(quán)限名稱[(字段列表)] [, 權(quán)限名稱[(字段列表)] ...] ON 權(quán)限級別FROM 'username'@'hostname' [, 'username'@'hostname' ... ]

當(dāng)撤銷的權(quán)限比較多時，這種方式就比較煩瑣。MySQL還提供了一次性撤銷所有權(quán)限的功能，基本語法：

REVOKE ALL PRIVILEGES, GRANT OPTION FROM 'username'@'hostname' [, 'username'@'hostname' ... ]

要使用REVOKE語句，必須擁有MySQL數(shù)據(jù)庫的全局CREATE USER權(quán)限或UPDATE權(quán)限。
USAGE權(quán)限只能用于登錄MySQL數(shù)據(jù)庫，不能執(zhí)行其他任何的操作；該權(quán)限不能被撤銷。

權(quán)限生效機(jī)制

在MySQL中可以通過兩種方式完成授權(quán)和撤銷權(quán)限，但它們的生效機(jī)制卻不一樣。

• 通過GRANT、REVOKE語句對用戶進(jìn)行授權(quán)、撤銷的操作，權(quán)限的修改會立即生效。
• 通過DML語句（insert、update和delete）直接修改權(quán)限系統(tǒng)表來完成授權(quán)和撤銷，需要手動執(zhí)行flush privileges語句讓MySQL重裝裝載權(quán)限系統(tǒng)表或重啟MySQL數(shù)據(jù)庫后，修改才會生效。
  當(dāng)MySQL生效新的權(quán)限信息時，對客戶端會有以下影響：
• 全局性的權(quán)限更改和新密碼的設(shè)置會在下一次客戶端連接時生效。
• 數(shù)據(jù)庫級別的權(quán)限更改會在下一次使用USE database_name語句時生效。
• 對象級別的權(quán)限更改（如表和列），會在客戶端下一次請求該對象時生效。

訪問控制的實(shí)現(xiàn)

MySQL訪問控制實(shí)際上由兩個功能模塊共同完成：用戶管理模塊、訪問控制模塊。
用戶管理模塊主要是驗(yàn)證用戶的合法性，驗(yàn)證用戶是否能夠訪問MySQL數(shù)據(jù)庫；而訪問控制模塊則需要根據(jù)權(quán)限系統(tǒng)表中存儲的權(quán)限信息來決定用戶的權(quán)限。