MySql的权限管理是控制数据库访问行为的核心机制，通过合理的权限配置可以限制不同用户能够执行的操作范围，避免无关人员获取敏感数据或者执行危险操作，从根源上降低数据库安全风险。
MySql权限管理的基础概念
MySql的权限体系采用分层设计，权限信息存储在系统数据库mysql的多张表中，其中最常用的包括user表、db表、tables_priv表和columns_priv表，不同层级的表对应不同粒度的权限控制。
权限的生效遵循从上到下的匹配逻辑，首先匹配全局权限，再匹配数据库级权限，接着是表级权限，最后是列级权限，粒度越细的权限优先级越高。常见的权限类型包括SELECT、INSERT、UPDATE、DELETE等数据操作权限，以及CREATE、DROP、ALTER等结构操作权限，还有GRANT OPTION这类权限管理相关权限。
基础权限操作实践
创建用户并配置密码
创建用户是权限管理的第一步，建议为不同业务场景创建独立的用户，避免多个业务共用同一个高权限账户。创建用户时可以同时设置密码和连接来源限制，示例代码如下：
-- 创建用户，仅允许192.168.0.100的IP访问，设置密码为Test@123 CREATE USER 'app_user'@'192.168.0.100' IDENTIFIED BY 'Test@123'; -- 如果需要允许所有IP访问，可以将主机部分设置为% CREATE USER 'read_user'@'%' IDENTIFIED BY 'Read@456';
授予权限
授予权限需要遵循最小权限原则，即只给用户分配完成工作所必需的最低权限，不要直接授予ALL PRIVILEGES这类全局最高权限。授予权限的语法如下：
-- 授予app_user对app_db数据库所有表的增删改查权限 GRANT SELECT,INSERT,UPDATE,DELETE ON app_db.* TO 'app_user'@'192.168.0.100'; -- 授予read_user对app_db数据库所有表的查询权限 GRANT SELECT ON app_db.* TO 'read_user'@'%'; -- 刷新权限使配置生效 FLUSH PRIVILEGES;
回收权限与删除用户
当用户职责变更或者不再需要访问数据库时，需要及时回收对应权限或者删除用户，避免权限残留带来安全风险。操作示例如下：
-- 回收read_user的查询权限 REVOKE SELECT ON app_db.* FROM 'read_user'@'%'; -- 删除用户 DROP USER 'read_user'@'%'; -- 刷新权限 FLUSH PRIVILEGES;
提升数据库安全性的进阶实践
配置密码安全策略
MySql提供了密码验证组件，可以强制要求用户密码满足复杂度要求，避免弱密码带来的安全隐患。首先需要安装密码验证组件：
-- 安装密码验证组件 INSTALL COMPONENT 'file://component_validate_password'; -- 查看密码策略配置 SHOW VARIABLES LIKE 'validate_password%';
可以通过修改系统变量调整密码策略，比如设置密码最小长度为8位，要求包含大小写字母和数字：
-- 设置密码最小长度为8 SET GLOBAL validate_password.length = 8; -- 设置密码需要包含大小写字母和数字 SET GLOBAL validate_password.mixed_case_count = 1; SET GLOBAL validate_password.number_count = 1;
限制用户连接行为
可以通过设置用户的最大连接数、连接时长等参数，避免单个用户占用过多数据库资源，或者防止暴力破解攻击：
-- 设置app_user最大连接数为10 ALTER USER 'app_user'@'192.168.0.100' WITH MAX_CONNECTIONS_PER_HOUR 10; -- 设置用户密码90天过期 ALTER USER 'app_user'@'192.168.0.100' PASSWORD EXPIRE INTERVAL 90 DAY;
定期审计权限配置
建议定期查询mysql系统库中的权限表，检查是否存在不合理的权限配置，比如是否有用户拥有全局ALL PRIVILEGES权限，是否有用户允许从任意IP访问且权限过高。查询用户权限的示例如下：
-- 查看所有用户的权限概况 SELECT user,host,Grant_priv,Super_priv FROM mysql.user; -- 查看指定用户的详细权限 SHOW GRANTS FOR 'app_user'@'192.168.0.100';
常见权限配置误区
- 不要给普通业务用户授予
GRANT OPTION权限，避免普通用户自行给其他用户分配权限，导致权限扩散。 - 不要为了方便将用户的主机设置为
%且授予高权限，尽量限制用户的访问来源IP，缩小攻击面。 - 修改权限后一定要执行
FLUSH PRIVILEGES命令，否则权限配置不会立即生效。 - 不要长期使用root账户进行日常业务操作，建议创建专用的业务账户，root账户仅用于管理操作。
合理的MySql权限管理需要结合业务实际需求，持续调整和优化配置，同时配合定期的安全审计，才能最大程度保障数据库的安全性，避免数据泄露、被篡改等安全事件的发生。