当前位置:   article > 正文

头歌(EduCoder):MySQL — 安全性控制_头歌实践教学平台实验7数据库安全性控制

头歌实践教学平台实验7数据库安全性控制

第一关:用户和权限

任务描述

本关任务: 在金融应用场景数据库环境中,创建用户,并给用户授予指定的权限。

相关知识

为了完成本关任务,你需要掌握: 1.MySQL的安全控制机制 2.create user语句的使用 3.grant和revoke语句的使用。

MySQL的安全控制机制

与大多数商用DBMS一样,MySQL采用自主存取控制(DAC)机制进行安全性管理。通过用户,数据对象,权限,授权,收回权限等要素进行存取控制。另外,为了方便批量授权给同一类用户,引入了角色。

用户(User)

MySQL创建用户的语句: create user 用户名 identified by 用户登录密码; 通常用户名可包含域名,限定用户在该域名内登录再有效。例: CREATE USER 'jeffrey'@'localhost' IDENTIFIED BY 'password'; 该语句创建用户jeffrey,密码为'password',仅限在MySQL服务器本机上登录才有效。用户名与域合起来,被称为账户(account)。 注意不要写成:'jeffrey@localhost',它代表账户: 'jeffrey@localhost'@'%' 意即用户名为jefrrey@localhost,在任何机器上登录都有效。两者的含义完全不同。 省略域名,即默认为'%',表示用户可远程登录。在本实训中,可以省略域,这时,用户名可以不加引号。

drop user语句可删除用户。用户被删除时,该用户拥有的权限自动被收回。 alter user语句可重置用户密码: ALTER USER user IDENTIFIED BY 'new_password';

MySQL在安装时,初始用户名为root,此为系统管理员用户,其余用户均由root创建,并授权。经授权的用户也可以创建用户。

在生产环境中,除了管理员,其它人应当使用由管理员创建的账户,不得使用root帐户。出于安全考虑,一般root用户也仅限在服务器本地登录,不轻易开放远程登录。

权限

MySQL常用的权限有:

  • all: 所有权限(grant option除外)
  • alter: alter table权限
  • alter routine: alter 存储过程
  • create: create database/table
  • create role: create role
  • create foutine: create 存储过程和函数
  • create user: create/alter/rename/drop user
  • create view: create view
  • delete: delete语句
  • drop: drop database/table
  • drop role: drop role
  • execute: 调用存储过程或函数
  • index:create/drop index
  • insert: insert语句
  • select: select语句
  • trigger: 触发器相关操作
  • update: update语句 等。 select,update,insert,delete还可以用在列上,如select(c_id),update(b_balance)等。

角色(Role)

角色是权限的集合。如果有一组人(承担相同职责的小组,或者説小组成员扮演相同的角色)应该被授予一组相同的权限,不妨创建一个角色,将那组权限授予该角色,然后再将角色授予该组的每个成员。这比一个个地给每个组员授予一批权限要方便得多。

创建角色的语句: CREATE ROLE [IF NOT EXISTS] role [, role ] ... 一次可以创建多个角色。 删除角色: DROP ROLE [IF EXISTS] role [, role ] ... 角色被删除后,拥有该角色的用户立即失去角色定义的权限组合。不过,如果用户同时拥有多个角色,两个角色代表的权限集合如果有交集,则该用户仍拥有交集代表的权限。

GRANT授权语句

以下语句授予权限给用户或角色: grant 权限[,权限] ... on 数据库对象 to user|role,[user|role]... [with grant option] 可以同时将多个权限授予多个用户或角色。 with grant option表示被授权用户可以传播权限,即授权该用户将其拥有的权限(之前获得的权限,通过本语句获得的权限,以及今后获得的权限)再授予其它用户。

以下语句授予角色所代表的权限集给用户或角色: GRANT role [, role] ... TO user_or_role [, user_or_role] ... [WITH ADMIN OPTION]

总之,GRANT语句可以将权限或角色(权限集合)授予用户或角色。但是不能将权限和角色混合授予用户(或角色)。不过,你可以分开用两条不同的GRANT语句来实现:直接授权语句有关键词ON,间接授权(角色代表的权限集合)语句不带ON关键词。

REVOKE收回权限语句

以下语句将对象的权限从用户或角色手中收回: revoke 权限[,权限]... on 数据库对象 from user|role[,user|role]...

下列语句把role所代表的权限集合从用户或角色中收回: REVOKE role [, role ] ... FROM user_or_role [, user_or_role ] ... 如果用户本身拥有多个角色所代表的权限集合,而这些集合存在交集,收回其中部分角色代表的权限集后,用户可能仍拥有那个角色所代表的部分权限(交集代表的那部分权限)。

编程要求

在右侧代码文件编辑器填写语句,完成以下创建用户和授权操作: (1) 创建用户tom和jerry,初始密码均为'123456'; (2) 授予用户tom查询客户的姓名,邮箱和电话的权限,且tom可转授权限; (3) 授予用户jerry修改银行卡余额的权限; (4) 收回用户Cindy查询银行卡信息的权限。

说明:

  • 本实训的运行环境是之前查询实训中曾经使用过的金融场景数据库。
  • 除root用户外,已预设了一个名为Cindy的用户,Cindy已被root授予了一定权限。
  • 由于MySQL的用户密码采用加密存储,不可识别,评测程序不会也无法比较密码是否按要求设置,实际上密码可以任意设置。如果你想用创建的用户在命令行登录到MySQL检验的话,自己记得所设密码即可。
  • 命令行窗口与评测用的是不同的MySQL实例,你需要自己还原数据库(/data/workspace/myshixun/src/test1/finance1.sql)

附上相关表结构:

测试说明

评测程序将运行脚本,然后检查所有用户及其权限,当所有用户及其权限都正确时,即可通关。

  1. # 请填写语句,完成以下功能:
  2. #(1) 创建用户tom和jerry,初始密码均为'123456'
  3. create user tom identified by '123456';
  4. create user jerry identified by '123456';
  5. #(2) 授予用户tom查询客户的姓名,邮箱和电话的权限,且tom可转授权限;
  6. grant select(c_name,c_mail,c_phone) on client to tom with grant option;
  7. #(3) 授予用户jerry修改银行卡余额的权限;
  8. grant update(b_balance) on bank_card to jerry;
  9. #(4) 收回用户Cindy查询银行卡信息的权限。
  10. revoke select on bank_card from Cindy;

第二关:用户、角色与权限

任务描述

本关任务: 创建角色,授予角色一组权限,并将角色代表的权限授予指定的一组用户。

相关知识

为了完成本关任务,你需要掌握: 1.创建角色; 2.通过角色授权。 相关知识点已在上一关讲述。

编程要求

在右侧代码文件编辑器填写语句,完成以下创建用户和授权操作: (1) 创建角色client_manager和fund_manager; (2) 授予client_manager对client表拥有select,insert,update的权限; (3) 授予client_manager对bank_card表拥有查询除银行卡余额外的select权限; (4) 授予fund_manager对fund表的select,insert,update权限; (5) 将client_manager的权限授予用户tom和jerry; (6) 将fund_manager权限授予用户Cindy.

说明: 在本关开始前,用户Cindy,tom,jerry的所有权限都已提前被revoke。

测试说明

评测程序将运行脚本,然后检查所有用户、角色及其权限,当所有用户、角色及其权限都正确时,即可通关。

  1. # 请填写语句,完成以下功能:
  2. # (1) 创建角色client_manager和fund_manager;
  3. create role client_manager,fund_manager;
  4. # (2) 授予client_manager对client表拥有select,insert,update的权限;
  5. grant select,insert,update on client to client_manager;
  6. # (3) 授予client_manager对bank_card表拥有查询除银行卡余额外的select权限;
  7. grant select(b_number,b_type,b_c_id) on bank_card to client_manager;
  8. # (4) 授予fund_manager对fund表的select,insert,update权限;
  9. grant select,insert,update on fund to fund_manager;
  10. # (5) 将client_manager的权限授予用户tom和jerry;
  11. grant client_manager to tom,jerry;
  12. # (6) 将fund_manager权限授予用户Cindy.
  13. grant fund_manager to Cindy;

声明:本文内容由网友自发贡献,不代表【wpsshop博客】立场,版权归原作者所有,本站不承担相应法律责任。如您发现有侵权的内容,请联系我们。转载请注明出处:https://www.wpsshop.cn/w/weixin_40725706/article/detail/668447
推荐阅读
相关标签
  

闽ICP备14008679号