您现在的位置：程式碼之家 >> 數據庫知識 > >> MySQL 資料庫 >> MySQL 綜合教學

MySQL 權限控制系統深度解析：架構、存儲、驗證流程與生效機制

編輯：MySQL 綜合教學

MySQL 權限控制系統深度解析：架構、存儲、驗證流程與生效機制

MySQL 權限系統是資料庫安全的基石。本文系統解析權限的分層架構、系統表存儲結構、兩階段驗證流程（連接校驗 + 請求校驗）、賬號名稱匹配規則、權限變更生效機制，為 DBA 與開發者建立完整的權限系統心智模型。

一、權限分層架構

層級	範圍	典型權限	存儲表
全局/管理權限	整個 MySQL 服務實例	SHUTDOWN, SUPER, RELOAD, PROCESS, CREATE USER, REPLICATION SLAVE	mysql.user
資料庫級權限	特定資料庫及其所有對象	SELECT, INSERT, UPDATE, DELETE, CREATE, DROP, INDEX, ALTER	mysql.db
表級權限	特定資料表	SELECT, INSERT, UPDATE, DELETE, TRIGGER	mysql.tables_priv
欄位級權限	特定欄位	SELECT, INSERT, UPDATE	mysql.columns_priv
存儲程序/函數權限	特定 PROCEDURE/FUNCTION	EXECUTE, ALTER ROUTINE	mysql.procs_priv
代理用戶權限	代理關係	PROXY	mysql.proxies_priv

二、權限存儲：五大系統表

mysql.user         -- 全局權限、認證信息、帳號鎖定狀態
mysql.db           -- 資料庫級權限
mysql.tables_priv  -- 表級權限
mysql.columns_priv -- 欄位級權限
mysql.procs_priv   -- 存儲程序/函數權限

服務啟動時將上述表載入記憶體 (Grant Tables Cache)
權限變更語句 (GRANT/REVOKE/CREATE USER 等) 自動刷新快取
直接 DML 修改系統表**不會自動生效**，需手動刷新

三、賬號名稱系統：user@host 模型

語法規則

完整形式：'user_name'@'host_name'
僅用戶名：'user_name' 等同 'user_name'@'%'
含特殊字符 (如 -) 或通配符時**必須加引號**
引號可單雙引號混用，但用戶名與主機名**分別加引號**

主機名匹配規則

精確匹配：'localhost'、'192.168.1.100'、'db-server'
通配符 % (SQL LIKE 語義)：'192.168.1.%'、'%.example.com'、'%'
IP 掩碼 (MariaDB/Percona 擴展)：'192.168.1.0/255.255.255.0'

用戶名匹配

非空字串：精確匹配
空字串 ''：匹配**任意用戶名** (匿名用戶)

四、權限驗證兩階段流程

階段一：連接校驗 (Connection Verification)

客戶端發起 TCP 連接
Server 從 mysql.user 讀取 Host, User, authentication_string, account_locked
按**排序規則**順序匹配：
- 精確主機名 > 通配符主機名
- 非空用戶名 > 空用戶名 (匿名)
檢查密碼 (插件認證) + 帳號鎖定狀態 (account_locked='Y')
任一失敗 → 拒絕連接 (ERROR 1045/1698)
通過 → 進入階段二，建立會話線程

階段二：請求校驗 (Request Verification)

每條 SQL 執行前，Server 檢查會話擁有的權限是否滿足操作需求：

聚合權限：全局 (user) + 資料庫 (db) + 表 (tables_priv) + 欄位 (columns_priv) + 程序 (procs_priv)
權限並集：任一層級擁有即通過
不足 → ERROR 1142 (SELECT/INSERT/UPDATE/DELETE command denied)

五、權限變更生效機制

修改方式	生效時機	命令
權限管理語句	即時生效 (自動刷新快取)	GRANT, REVOKE, CREATE USER, DROP USER, ALTER USER, SET PASSWORD, RENAME USER
直接 DML 修改系統表	不生效，需手動刷新	INSERT/UPDATE/DELETE mysql.user 等
手動刷新快取	立即生效	FLUSH PRIVILEGES; mysqladmin flush-privileges; mysqladmin reload
啟動參數 --skip-grant-tables	完全跳過權限檢查 (極度危險)	mysqld --skip-grant-tables

六、密碼存儲與認證機制

密碼**永不以明文存儲** (5.7+ 為 authentication_string，5.6 為 Password)
認證流程：Server 發送隨機數 → Client 用隨機數 + 密碼多次 SHA1 → Server 驗證
加密後的密碼字串**即為真正密碼等價物**，洩露等同洩露明文
支援插件式認證：mysql_native_password、caching_sha2_password (8.0 預設)、auth_socket、LDAP、Kerberos 等

七、排序規則對匹配的影響 (關鍵細節)

Server 讀取 mysql.user 到記憶體時會排序：

Host: 字面值優先 (localhost > %)、IP 精確 > IP 通配
User: 非空優先、字典序

實例：同時存在 'root'@'%' 和 ''@'localhost' (匿名)，本地連接 mysql -u root 會匹配**匿名用戶** (因 Host 精確 localhost 排在 % 前)，導致權限不足。解決：刪除匿名用戶 DROP USER ''@'localhost'。