[新客網xker]MySQL管理員應該知道如何設置MySQL用戶賬號，指出哪個用戶可以連接服務器，從哪裡連接，連接後能做什麼。MySQL 3.22.11開始引入兩條語句使得這項工作更容易做：GRANT語句創建MySQL用戶並指定其權限，而REVOKE語句刪除權限。兩條語句扮演了
MySQL數據庫的前端角色，並提供與直接操作這些表的內容不同的另一種方法。CREATE和REVOKE語句影響4個表：
還有第5個授權表（host），但它不受GRANT和REVOKE的影響。
當你對一個用戶發出一條GRANT語句時，在user表中為該用戶創建一條記錄。如果語句指定任何全局權限（管理權限或適用於所有數據庫的權限），這些也記錄在user表中。如果你指定數據庫、表和列級權限，他們被分別記錄在db、tables_priv和columns_priv表中。
用GRANT和REVOKE比直接修改授權表更容易些，然而，建議你閱讀一下《MySQL安全性指南》。這些表異常重要，而且作為一名管理員，你應該理解它們如何超越GRANT和REVOKE語句的功能水平。
在下面的章節中，我們將介紹如何設置MySQL用戶賬號並授權。我們也涉及如何撤權和從授權表中刪除用戶。
你可能也想考慮使用
MySQLAccess和
MySQL_setpermission腳本，它是MySQL分發的一部分，它們是Perl腳本，提供GRANT語句的另一種選擇設置用戶賬號。
MySQL_setpermission需要安裝DBI支持。
1 創建用戶並授權 GRANT語句的語法看上去像這樣：
GRANT privileges (columns)
ON what
TO user IDENTIFIED BY "passWord"
WITH GRANT OPTION
要使用該語句，你需要填寫下列部分：
privileges
授予用戶的權限，下表列出可用於GRANT語句的權限指定符：
上表顯示在第一組的權限指定符適用於數據庫、表和列，第二組數管理權限。一般，這些被相對嚴格地授權，因為它們允許用戶影響服務器的操作。第三組權限特殊，ALL意味著“所有權限”，UASGE意味著無權限，即創建用戶，但不授予權限。
columns
權限運用的列，它是可選的，並且你只能設置列特定的權限。如果命令有多於一個列，應該用逗號分開它們。
what
權限運用的級別。權限可以是全局的（適用於所有數據庫和所有表）、特定數據庫（適用於一個數據庫中的所有表）或特定表的。可以通過指定一個columns字句是權限是列特定的。
user
權限授予的用戶，它由一個用戶名和主機名組成。在MySQL中，你不僅指定誰能連接，還有從哪裡連接。這允許你讓兩個同名用戶從不同地方連接。MySQL讓你區分他們，並彼此獨立地賦予權限。
MySQL中的一個用戶名就是你連接服務器時指定的用戶名，該名字不必與你的Unix登錄名或Windows名聯系起來。缺省地，如果你不明確指定一個名字，客戶程序將使用你的登錄名作為MySQL用戶名。這只是一個約定。你可以在授權表中將該名字改為nobody，然後以nobody連接執行需要超級用戶權限的操作。
passWord
賦予用戶的口令，它是可選的。如果你對新用戶沒有指定IDENTIFIED BY子句，該用戶不賦給口令（不安全）。對現有用戶，任何你指定的口令將代替老口令。如果你不指定口令，老口令保持不變，當你用IDENTIFIED BY時，口令字符串用改用口令的字面含義，GRANT將為你編碼口令，不要象你用SET PASSWORD 那樣使用passWord()函數。
WITH GRANT OPTION子句是可選的。如果你包含它，用戶可以授予權限通過GRANT語句授權給其它用戶。你可以用該子句給與其它用戶授權的能力。
用戶名、口令、數據庫和表名在授權表記錄中是大小寫敏感的，主機名和列名不是。
一般地，你可以通過詢問幾個簡單的問題來識別GRANT語句的種類：
誰能連接，從那兒連接？
用戶應該有什麼級別的權限，他們適用於什麼？
用戶應該允許管理權限嗎？
下面就討論一些例子。
1.1 誰能連接，從那兒連接？
你可以允許一個用戶從特定的或一系列主機連接。有一個極端，如果你知道降職從一個主機連接，你可以將權限局限於單個主機：
GRANT ALL ON samp_db.* TO boris@localhost IDENTIFIED BY "ruby"
GRANT ALL ON samp_db.* TO
[email protected] IDENTIFIED BY "quartz" (samp_db.*意思是“samp_db數據庫的所有表)另一個極端是，你可能有一個經常旅行並需要能從世界各地的主機連接的用戶max。在這種情況下，你可以允許他無論從哪裡連接：
GRANT ALL ON samp_db.* TO max@% IDENTIFIED BY "diamond"
“%”字符起通配符作用，與LIKE模式匹配的含義相同。在上述語句中，它意味著“任何主機”。所以max和max@%等價。這是建立用戶最簡單的方法，但也是最不安全的。
取其中，你可以允許一個用戶從一個受限的主機集合訪問。例如，要允許mary從snake.net域的任何主機連接，用一個%.snake.Net主機指定符：
GRANT ALL ON samp_db.* TO
[email protected] IDENTIFIED BY "quartz";
如果你喜歡，用戶標識符的主機部分可以用IP地址而不是一個主機名來給定。你可以指定一個IP地址或一個包含模式字符的地址，而且，從MySQL 3.23，你還可以指定具有指出用於網絡號的位數的網絡掩碼的IP號：
GRANT ALL ON samp_db.* TO
[email protected] IDENTIFIED BY "ruby"
GRANT ALL ON samp_db.* TO
[email protected].% IDENTIFIED BY "quartz"
GRANT ALL ON samp_db.* TO
[email protected]/17 IDENTIFIED BY "ruby"
第一個例子指出用戶能從其連接的特定主機，第二個指定對於C類子網192.168.128的IP模式，而第三條語句中，192.168.128.0/17指定一個17位網絡號並匹配具有192.168.128頭17位的IP地址。
如果MySQL抱怨你指定的用戶值，你可能需要使用引號（只將用戶名和主機名部分分開加引號）。
GRANT ALL ON samp_db.president TO "my frIEnd"@"boa.snake.Net"
1.2 用戶應該有什麼級別的權限和它們應該適用於什麼？
你可以授權不同級別的權限，全局權限是最強大的，因為它們適用於任何數據庫。要使ethel成為可做任何事情的超級用戶，包括能授權給其它用戶，發出下列語句：
GRANT ALL ON *.* TO ethel@localhost IDENTIFIED BY "coffee" WITH GRANT OPTION
ON子句中的*.*意味著“所有數據庫、所有表”。從安全考慮，我們指定ethel只能從本地連接。限制一個超級用戶可以連接的主機通常是明智的，因為它限制了試圖破解口令的主機。
有些權限（FILE、PROCESS、RELOAD和SHUTDOWN）是管理權限並且只能用"ON *.*"全局權限指定符授權。如果你願意，你可以授權這些權限，而不授權數據庫權限。例如，下列語句設置一個flush用戶，他只能發出flush語句。這可能在你需要執行諸如清空日志等的管理腳本中會有用：
GRANT RELOAD ON *.* TO flushl@localhost IDENTIFIED BY "flushpass"
一般地，你想授權管理權限，吝啬點，因為擁有它們的用戶可以影響你的服務器的操作。
數據庫級權限適用於一個特定數據庫中的所有表，它們可通過使用ON db_name.*子句授予：
GRANT ALL ON samp_db TO
[email protected] INDETIFIED BY "rock"
GRANT SELECT ON samp_db TO ro_user@% INDETIFIED BY "rock"
第一條語句向bill授權samp_db數據庫中所有表的權限，第二條創建一個嚴格限制訪問的用戶ro_user（只讀用戶），只能訪問samp_db數據庫中的所有表，但只有讀取，即用戶只能發出SELECT語句。
你可以列出一系列同時授予的各個權限。例如，如果你想讓用戶能讀取並能修改現有數據庫的內容，但不能創建新表或刪除表，如下授予這些權限：
GRANT SELECT,INSERT,DELETE,UPDATE ON samp_db TO
[email protected] INDETIFIED BY "rock"
對於更精致的訪問控制，你可以在各個表上授權，或甚至在表的每個列上。當你想向用戶隱藏一個表的部分時，或你想讓一個用戶只能修改特定的列時，列特定權限非常有用。如：
GRANT SELECT ON samp_db.member TO bill@localhost INDETIFIED BY "rock"
-
GRANT UPDATE (expiration) ON samp_db. member TO bill@localhost
第一條語句授予對整個member表的讀權限並設置了一個口令，第二條語句增加了UPDATE權限，當只對expiration列。沒必要再指定口令，因為第一條語句已經指定了。
如果你想對多個列授予權限，指定一個用逗號分開的列表。例如，對assistant用戶增加member表的地址字段的UPDATE權限，使用如下語句，新權限將加到用戶已有的權限中：
GRANT UPDATE (street,city,state,zip) ON samp_db TO assistant@localhost
通常，你不想授予任何比用戶確實需要的權限寬的權限。然而，當你想讓用戶能創建一個臨時表以保存中間結果，但你又不想讓他們在一個包含他們不應修改內容的數據庫中這樣做時，發生了要授予在一個數據庫上的相對寬松的權限。你可以通過建立一個分開的數據庫（如tmp）並授予開數據庫上的所有權限來進行。例如，如果你想讓來自mars.Net域中主機的任何用戶使用tmp數據庫，你可以發出這樣的GRANT語句：
GRANT ALL ON tmp.* TO ""@mars.Net
在你做完之後，用戶可以創建並用tmp.tbl_name形式引用tmp中的表（在用戶指定符中的""創建一個匿名用戶，任何用戶均匹配空白用戶名）。
