MySQL的权限管理依赖内置的系统表存储权限信息，但默认的权限变更仅会记录到二进制日志或系统表中，缺乏结构化的版本管理，难以满足长期追溯和团队协作的需求。将权限变更操作与Git结合，能够实现权限变更的全生命周期管理。
MySQL权限变更的基础记录方式
MySQL的权限信息主要存储在mysql库的多个系统表中，包括user、db、tables_priv、columns_priv等，执行GRANT、REVOKE等权限操作时会自动更新这些表。我们可以通过查询系统表获取当前的权限配置，也可以通过开启通用日志或者二进制日志记录权限变更的操作语句。
以下是查询当前所有用户权限的示例SQL：
-- 查询所有用户的全局权限 SELECT user, host, authentication_string, * FROM mysql.user; -- 查询指定用户的数据库级别权限 SELECT * FROM mysql.db WHERE user = 'test_user';
权限变更写入Git的核心思路
要实现权限变更的可追溯和Git管理，核心是将权限变更的操作脚本、变更说明、操作记录统一存储到Git仓库中，每次变更都对应一次Git提交，具体流程如下：
- 建立专门的权限管理Git仓库，用于存储所有权限相关的脚本和记录
- 所有权限变更都先编写对应的SQL脚本，而不是直接在数据库执行
- 执行脚本前将脚本提交到Git仓库，记录操作人、操作时间、变更原因
- 执行脚本后，将执行结果和变更后的权限快照也提交到Git仓库
- 定期将权限快照导出，作为版本节点存储到Git中
具体实现步骤
1. 初始化权限管理Git仓库
首先在本地或者服务器上创建一个专门的Git仓库，用于存放权限相关的文件：
# 创建仓库目录 mkdir mysql_privilege_management cd mysql_privilege_management # 初始化Git仓库 git init # 创建基础目录结构 mkdir scripts snapshots logs # 创建README说明文件 touch README.md git add . git commit -m "初始化MySQL权限管理仓库"
2. 编写权限变更SQL脚本
所有权限变更都先编写对应的SQL脚本，脚本中需要包含变更说明、操作人、变更时间等信息，以下是一个新增用户并授权示例脚本：
-- 权限变更脚本：add_test_user_privilege.sql -- 操作人：张三 -- 变更时间：2024-05-20 -- 变更原因：为测试环境新增用户，授予test_db库的查询权限 -- 执行前请确认当前环境为测试环境 -- 创建用户 CREATE USER IF NOT EXISTS 'test_user'@'192.168.0.%' IDENTIFIED BY 'Test@123456'; -- 授予test_db库的所有表查询权限 GRANT SELECT ON test_db.* TO 'test_user'@'192.168.0.%'; -- 刷新权限 FLUSH PRIVILEGES;
3. 提交脚本到Git仓库并执行
编写完脚本后，先将脚本提交到Git仓库，再在对应的MySQL环境中执行：
# 将脚本放到scripts目录 cp add_test_user_privilege.sql scripts/ # 提交到Git git add scripts/add_test_user_privilege.sql git commit -m "新增test_user用户，授予test_db库查询权限，操作人：张三，原因：测试环境用户新增" # 执行SQL脚本 mysql -u root -p < scripts/add_test_user_privilege.sql
4. 导出权限快照并提交
执行完权限变更后，导出当前的权限快照，存储到snapshots目录，方便后续回溯对比：
# 导出所有用户的权限语句
mysql -u root -p -e "SELECT CONCAT('SHOW GRANTS FOR ''', user, '''@''', host, ''';') FROM mysql.user" | grep "SHOW GRANTS" | mysql -u root -p > snapshots/privilege_snapshot_20240520.sql
# 提交快照到Git
git add snapshots/privilege_snapshot_20240520.sql
git commit -m "2024-05-20权限变更后快照，包含test_user新增权限"
权限变更追溯与回滚
当需要追溯历史权限变更时，可以直接通过Git的日志功能查看所有提交记录：
# 查看所有权限变更提交记录 git log --pretty=format:"%h - %an, %ar : %s"
如果需要回滚某次权限变更，可以找到对应的变更脚本，编写反向的SQL脚本（比如之前是GRANT，回滚就写REVOKE），同样按照流程提交Git并执行即可。
注意事项
- 权限脚本中不要包含明文的高危密码，敏感信息可以通过环境变量或者配置管理工具注入
- 生产环境的权限变更脚本需要经过审核后再提交和执行，避免误操作
- 定期清理过旧的权限快照，避免仓库体积过大，重要版本可以打上Git标签长期保存
- 可以将Git仓库与CI/CD工具结合，实现权限变更的自动化审核和执行