《數(shù)據(jù)庫(kù)原理及應(yīng)用（第二版）》課件 第8章 數(shù)據(jù)庫(kù)系統(tǒng)的安全

第8章

數(shù)據(jù)庫(kù)系統(tǒng)安全本章要點(diǎn)◆?SQLServer安全控制機(jī)制?！?SQLServer登錄賬號(hào)、角色、用戶和訪問(wèn)權(quán)限的管理?！鬗ySQL安全控制機(jī)制?！鬗ySQL登錄賬號(hào)、角色、用戶和訪問(wèn)權(quán)限的管理。2一、概述31、數(shù)據(jù)庫(kù)系統(tǒng)的安全控制模型對(duì)數(shù)據(jù)庫(kù)管理系統(tǒng)正常運(yùn)行而進(jìn)行的維護(hù)權(quán)限對(duì)數(shù)據(jù)庫(kù)中的對(duì)象和數(shù)據(jù)的操作權(quán)限對(duì)數(shù)據(jù)庫(kù)對(duì)象的權(quán)限對(duì)數(shù)據(jù)庫(kù)數(shù)據(jù)的操作權(quán)用戶按其操作權(quán)限的大小可分為數(shù)據(jù)庫(kù)系統(tǒng)管理員數(shù)據(jù)庫(kù)對(duì)象擁有者普通用戶4一、概述2、

數(shù)據(jù)庫(kù)權(quán)限和用戶分類建立在認(rèn)證和訪問(wèn)許可機(jī)制上的身份驗(yàn)證訪問(wèn)權(quán)驗(yàn)證操作權(quán)驗(yàn)證SQLServer登錄賬戶的來(lái)源有兩種：Windows授權(quán)用戶：來(lái)自于Windows的用戶或組；SQL授權(quán)用戶：來(lái)自于非Windows的用戶，我們也將這種用戶稱為SQL用戶。2025/6/817:115一、概述3、SQLServer的安全機(jī)制（1）Windows身份驗(yàn)證模式

2025/6/817:116一、概述3、SQLServer的安全機(jī)制Windows身份驗(yàn)證模式允許用戶通過(guò)Windows家族的用戶進(jìn)行連接。只需選擇Windows身份驗(yàn)證模式，而無(wú)需再提供登錄賬號(hào)和密碼，系統(tǒng)會(huì)從用戶登錄到Windows時(shí)提供的用戶名和密碼中查找當(dāng)前用戶的登錄信息，以判斷其是否是SQLServer的合法用戶。2025/6/817:117一、概述3、SQLServer的安全機(jī)制在該認(rèn)證模式下，用戶在連接SQLServer時(shí)必須提供登錄名和登錄密碼，這些登錄信息存儲(chǔ)在系統(tǒng)表syslogins中，與操作系統(tǒng)的登錄賬號(hào)無(wú)關(guān)。（2）SQLServer身份驗(yàn)證模式2025/6/817:118一、概述3、SQLServer的安全機(jī)制在混合認(rèn)證模式下，Windows認(rèn)證和SQLServer認(rèn)證這兩種認(rèn)證模式都是可用的。在使用客戶應(yīng)用程序連接SQLServer服務(wù)器時(shí)，如果沒(méi)有傳遞登錄名和密碼，SQLServer將自動(dòng)認(rèn)定用戶要使用Windows身份驗(yàn)證模式，并且在這種模式下對(duì)用戶進(jìn)行認(rèn)證。如果傳遞了登錄名和密碼，則SQLServer認(rèn)為用戶要使用SQLServer身份驗(yàn)證模式，并將所傳來(lái)的登錄信息與存儲(chǔ)在系統(tǒng)表中的數(shù)據(jù)進(jìn)行比較。如果匹配，就允許用戶連接到服務(wù)器，否則拒絕連接。（3）混合驗(yàn)證模式設(shè)置身份驗(yàn)證模式2025/6/817:119一、概述4、MySQL的安全機(jī)制MySQL中主要包含root用戶和普通用戶。root用戶擁有一切權(quán)限，普通用戶只能擁有部分權(quán)限。在MySQL的系統(tǒng)數(shù)據(jù)庫(kù)mysql中存儲(chǔ)著權(quán)限表，最主要有mysql.user、mysql.db、table_priv、columns_priv、procs_priv表。user表記錄了允許連接到服務(wù)器的賬號(hào)信息，里面的權(quán)限是全局級(jí)的。db表存儲(chǔ)了用戶對(duì)某個(gè)數(shù)據(jù)庫(kù)的操作權(quán)限，決定用戶能從哪個(gè)主機(jī)存取哪個(gè)數(shù)據(jù)庫(kù)。tables_priv表用來(lái)對(duì)表設(shè)置操作權(quán)限，columns_priv表用來(lái)對(duì)表的某一列設(shè)置權(quán)限。procs_priv表用來(lái)對(duì)存儲(chǔ)過(guò)程和存儲(chǔ)函數(shù)設(shè)置操作權(quán)限。user表中的部分?jǐn)?shù)據(jù)tables_priv表中的部分?jǐn)?shù)據(jù)2025/6/817:1110一、概述4、MySQL的安全機(jī)制用戶通過(guò)登錄驗(yàn)證后，MySQL將對(duì)用戶提交的每項(xiàng)數(shù)據(jù)庫(kù)操作進(jìn)行權(quán)限檢查，判斷用戶是否具有足夠的權(quán)限執(zhí)行相應(yīng)操作。2025/6/817:1111二、用戶管理1、SQLServer登錄名管理在SQLServer中，必須要有登錄名才能連接到數(shù)據(jù)庫(kù)服務(wù)器。sa為超級(jí)管理員登錄名。系統(tǒng)登錄賬號(hào)新建對(duì)話框“常規(guī)”頁(yè)2025/6/817:1112二、用戶管理2、SQLServer用戶管理在SQLServer中，數(shù)據(jù)庫(kù)用戶與登錄名是兩個(gè)不同的概念。一個(gè)合法的登錄名只表明該登錄名通過(guò)了Windows認(rèn)證或SQLServer認(rèn)證，但不能表明其可以對(duì)數(shù)據(jù)庫(kù)數(shù)據(jù)和數(shù)據(jù)對(duì)象進(jìn)行某種或某些操作，所以一個(gè)登錄名總是與一個(gè)或多個(gè)數(shù)據(jù)庫(kù)用戶相對(duì)應(yīng)，這樣才可以訪問(wèn)數(shù)據(jù)庫(kù)。例如，登錄賬號(hào)sa自動(dòng)與每一個(gè)數(shù)據(jù)庫(kù)用戶dbo相關(guān)聯(lián)。在SQLServer中創(chuàng)建數(shù)據(jù)庫(kù)用戶2025/6/817:1113二、用戶管理3、MySQL用戶管理在MySQL中，不需要像SQLServer一樣單獨(dú)創(chuàng)建一個(gè)登錄名，用戶名即登錄名?？梢酝ㄟ^(guò)可視化界面對(duì)用戶進(jìn)行管理。在MySQL中創(chuàng)建數(shù)據(jù)庫(kù)用戶（1）創(chuàng)建用戶2025/6/817:1114二、用戶管理3、MySQL用戶管理MySQL和SQLServer等關(guān)系型數(shù)據(jù)庫(kù)都提供命令方式創(chuàng)建用戶，格式大同小異，以下是在MySQL中創(chuàng)建用戶的語(yǔ)法格式：CREATEUSER[IFNOTEXISTS]'用戶名'[@'主機(jī)地址或標(biāo)識(shí)'][IDENTIFIED[WITHAUTH_PLUGIN]BY'用戶口令'|RANDOMPASSWORD][WITHresource_option[resource_option]...][password_option];說(shuō)明如下：（1）IFNOTEXISTS為可選參數(shù)，表示如果用戶名不存在，則創(chuàng)建用戶，否則不創(chuàng)建用戶。（2）使用CREATEUSER語(yǔ)句可一次性創(chuàng)建多個(gè)用戶，不同用戶的配置信息使用逗號(hào)分隔。（3）創(chuàng)建用戶時(shí)，可指定用戶訪問(wèn)數(shù)據(jù)庫(kù)時(shí)允許的主機(jī)信息，如主機(jī)標(biāo)識(shí)或名稱、主機(jī)地址或特殊符號(hào)，’%’表示任意位置。（4）IDENTIFY子句使用WITHAUTH_PLUGIN指定口令加密策略。通過(guò)BY關(guān)鍵字指明口令明文或隨機(jī)口令RANDOMPASSWORD。（5）可選子句[WITHresource_option[resource_option]...]使用resource_option配置用戶對(duì)數(shù)據(jù)庫(kù)資源使用約束。（6）可選子句[password_option]設(shè)定口令策略。（7）CREATEUSER語(yǔ)句還提供了其他參數(shù)，如用戶鎖、用戶連接安全策略等信息。（1）創(chuàng)建用戶2025/6/817:1115二、用戶管理3、MySQL用戶管理【例8-1】創(chuàng)建一個(gè)只允許在MySQL所在服務(wù)器上登錄的賬戶student，密碼為student123，其他配置信息保持默認(rèn)。CREATEUSERIFNOTEXISTS'student'@'localhost'IDENTIFIEDBY'student123';【例8-2】創(chuàng)建一個(gè)允許在任意機(jī)器上登錄的賬戶user1，密碼為Evt@123，其他配置信息保持默認(rèn)。CREATEUSER'user1'@'%'IDENTIFIEDBY'Evt@123';（1）創(chuàng)建用戶2025/6/817:1116二、用戶管理3、MySQL用戶管理【例8-3】創(chuàng)建一個(gè)只允許在192.168.1.100機(jī)器上登錄的賬戶user2，密碼為Small@123，其他配置信息保持默認(rèn)。CREATEUSER'user2'@'192.168.1.100'IDENTIFIEDBY'Small@123';創(chuàng)建用戶也可以直接在MySQL數(shù)據(jù)庫(kù)的user表中添加數(shù)據(jù)，添加成功后使用如下指令使用戶生效：FLUSHPRIVILEGES;（1）創(chuàng)建用戶2025/6/817:1117二、用戶管理3、MySQL用戶管理可以使用RENAMEUSER語(yǔ)句重命名用戶賬號(hào)，語(yǔ)法格式如下：RENAMEUSER'原用戶信息'TO'新用戶信息'[,'原用戶信息'TO'新用戶信息']...【例8-4】

將已有用戶stud重命名為student，將主機(jī)信息從localhost修改為%。RENAMEUSER'stud'@'localhost'to'student'@'%';（2）重命名用戶2025/6/817:1118二、用戶管理3、MySQL用戶管理可以使用ALTERUSER語(yǔ)句修改用戶口令，其語(yǔ)法格式如下：ALTERUSER'用戶名'@'主機(jī)信息'IDENTIFIEDBY'新密碼';【例8-5】將主機(jī)信息為localhost、用戶名為zw3的用戶口令修改為AX02t7964。ALTERUSER'zw3'@'localhost'IDENTIFIEDBY'AX02t7964';（3）修改用戶口令2025/6/817:1119二、用戶管理3、MySQL用戶管理可以使用DROPUSER語(yǔ)句刪除用戶，其語(yǔ)法格式如下：DROPUSER'用戶名'@'主機(jī)信息'[,'用戶名'@'主機(jī)信息']【例8-6】刪除主機(jī)信息為localhost用戶名為student的用戶DROPUSER'zw3'@'localhost';也可以在系統(tǒng)表user中刪除用戶?！纠?-7】刪除主機(jī)信息為localhost、用戶名為student的用戶。DELELEFROMmysql.user

WHEREUser='student'andHost='localhost';直接從user表中刪除數(shù)據(jù)后應(yīng)使用“FLUSHPRIVILEGES”語(yǔ)句使操作生效。（4）刪除用戶2025/6/817:1120三、管理權(quán)限當(dāng)用戶成為數(shù)據(jù)庫(kù)中的合法用戶之后，除了具有一些系統(tǒng)表的查詢權(quán)之外，并不對(duì)數(shù)據(jù)庫(kù)中的對(duì)象具有任何操作權(quán)。因此，下一步就需要為數(shù)據(jù)庫(kù)中的用戶授予適當(dāng)?shù)牟僮鳈?quán)。1．對(duì)象權(quán)限對(duì)象權(quán)限是指用戶對(duì)數(shù)據(jù)庫(kù)中的表、視圖、存儲(chǔ)過(guò)程等對(duì)象的操作權(quán)，相當(dāng)于數(shù)據(jù)庫(kù)操作語(yǔ)言(DML)的語(yǔ)句權(quán)限，例如是否允許查詢、增加、刪除和修改數(shù)據(jù)等。具體包括：(1)對(duì)于表和視圖，可以使用SELECT、INSERT、UPDATE、DELETE、REFERENCES等權(quán)限。(2)對(duì)于存儲(chǔ)過(guò)程，可以使用EXECUTE權(quán)限、CONTROL和查看等權(quán)限。(3)對(duì)于標(biāo)量函數(shù)，主要有執(zhí)行、引用、控制等權(quán)限。(4)對(duì)于表值型函數(shù)，有插入、更新、刪除、查詢和引用等權(quán)限。2．語(yǔ)句權(quán)限語(yǔ)句權(quán)限相當(dāng)于數(shù)據(jù)定義語(yǔ)言(DDL)的語(yǔ)句權(quán)限，這種權(quán)限專指是否允許執(zhí)行語(yǔ)句CREATETABLE、CREATEPROCEDURE、CREATEVIEW等與創(chuàng)建數(shù)據(jù)庫(kù)對(duì)象有關(guān)的操作。1、

權(quán)限管理簡(jiǎn)介2025/6/817:1121權(quán)限的管理包含如下三方面內(nèi)容：(1)授予權(quán)限(GRANT)：允許用戶或角色具有某種操作權(quán)。(2)撤銷權(quán)限(REVOKE)：不允許用戶或角色具有某種操作權(quán)，或者收回曾經(jīng)授予的權(quán)限。(3)拒絕訪問(wèn)(DENY)：拒絕某用戶或角色具有某種操作權(quán)，即使用戶或角色由于繼承而獲得這種操作權(quán)，也不允許執(zhí)行相應(yīng)的操作。三、管理權(quán)限1、

權(quán)限管理簡(jiǎn)介2025/6/817:1122權(quán)限的管理包含如下三方面內(nèi)容：(1)授予權(quán)限(GRANT)：允許用戶或角色具有某種操作權(quán)。(2)撤銷權(quán)限(REVOKE)：不允許用戶或角色具有某種操作權(quán)，或者收回曾經(jīng)授予的權(quán)限。(3)拒絕訪問(wèn)(DENY)：拒絕某用戶或角色具有某種操作權(quán)，即使用戶或角色由于繼承而獲得這種操作權(quán)，也不允許執(zhí)行相應(yīng)的操作。三、管理權(quán)限1、

權(quán)限管理簡(jiǎn)介2025/6/817:1123SQLServer可使用可視化工具和SQL命令管理數(shù)據(jù)庫(kù)用戶權(quán)限。三、管理權(quán)限2、

SQLServer權(quán)限管理安全對(duì)象分配權(quán)限2025/6/817:1124MySQL、SQLServer等數(shù)據(jù)庫(kù)都可以使用GRANT命令授予用戶或角色權(quán)限，其語(yǔ)法格式大同小異，MySQL的GRANT命令的基本語(yǔ)法如下：GRANT權(quán)限名稱[(字段列表)][,權(quán)限名稱[(字段列表)]]...ON授權(quán)層次及對(duì)象TO'用戶名'@'主機(jī)信息'[,'用戶名'@'主機(jī)信息']...[WITHGRANTOPTION];相關(guān)說(shuō)明如下：①可以一次性將多個(gè)權(quán)限賦予用戶，不同權(quán)限名稱使用逗號(hào)分隔。②ON子句用于指明授權(quán)級(jí)別及對(duì)象，常見形式包括：*.*：服務(wù)器級(jí)別權(quán)限（全局權(quán)限），執(zhí)行成功后修改mysql.user表中記錄。db_name.*：數(shù)據(jù)庫(kù)級(jí)別權(quán)限，執(zhí)行成功后修改mysql.db表中記錄。db_name.table_name：或列級(jí)別權(quán)限，授予表級(jí)別權(quán)限將修改mysql.tables_priv表中記錄，授予列級(jí)別權(quán)限將修改mysql.columns_priv表中記錄。db_name.routine_name：存儲(chǔ)過(guò)程級(jí)別權(quán)限，執(zhí)行成功后修改mysql.routines_priv表中記錄。③TO子句用于指明授予的用戶或角色，可以將權(quán)限授予多個(gè)用戶。④WITHGRANTOPTION指示被授權(quán)者在獲得指定權(quán)限的同時(shí)還可以將指定權(quán)限授予其他主體。三、管理權(quán)限3、MySQL權(quán)限管理（1）授予權(quán)限2025/6/817:1125【例8-8】

將選修表的查詢權(quán)限授予用戶zhangsan。命令如下：GRANTSELECTONscTOzhangsan【例8-9】

將學(xué)生表的查詢、更新、刪除權(quán)限授予用戶zhangsan。命令如下：GRANTSELECT,UPDATE,DELETEONstudentTOzhangsan【例8-10】

將學(xué)生表的查詢權(quán)限授予用戶zhangsan，并且允許zhangsan把此權(quán)限授予其他用戶。命令如下：GRANTSELECTONstudentTOzhangsanWITHGRANTOPTION三、管理權(quán)限3、MySQL權(quán)限管理（1）授予權(quán)限2025/6/817:1126【例8-11】為user1用戶賦予數(shù)據(jù)庫(kù)服務(wù)器的所有使用權(quán)限（ALL），并允許權(quán)限由user1授予其他用戶。命令如下：GRANTALLON*.*to'user1'@'%'WITHGRANTOPTION【例8-12】為user1用戶賦予stu數(shù)據(jù)庫(kù)上對(duì)象的查找、創(chuàng)建數(shù)據(jù)表和插入數(shù)據(jù)權(quán)限（SELECT、CREATE、INSERT），并不允許權(quán)限由user1授予其他用戶。GRANTSELECT,CREATE,INSERTONstu.*to'user1'@'%'【例8-13】為user1用戶賦予toyuniverse數(shù)據(jù)庫(kù)上玩具表toys的查找、插入、更新和刪除數(shù)據(jù)權(quán)限（SELECT、INSERT、UPDATE、DELETE），并不允許權(quán)限由user1授予其他用戶。GRANTSELECT,INSERT,UPDATE,DELETEONtoyuniverse.toysTO'user1'@'%'三、管理權(quán)限3、MySQL權(quán)限管理（1）授予權(quán)限2025/6/817:1127【例8-14】為user2用戶賦予toyuniverse數(shù)據(jù)庫(kù)中訂單表orders上cOrderNo字段和dOrderDate字段的查找數(shù)據(jù)權(quán)限（SELECT），并不允許權(quán)限由user2授予其他用戶。GRANTSELECT(dOrderDate,dOrderDate)ONtoyuniverse.ordersTO'user2'@'192.168.1.100';【例8-15】為user3用戶賦予在toyuniverse數(shù)據(jù)庫(kù)中創(chuàng)建表和創(chuàng)建視圖的權(quán)。GRANTCREATE,CREATEviewONtoyuniverse.*touser3三、管理權(quán)限3、MySQL權(quán)限管理（1）授予權(quán)限2025/6/817:1128使用GRANT語(yǔ)句的其他注意事項(xiàng)：①M(fèi)ySQL8不允許為不存在用戶授權(quán)，所以不能使用GRANT語(yǔ)句達(dá)到授權(quán)同時(shí)創(chuàng)建用戶的目的，必須先創(chuàng)建用戶，然后才能授權(quán)；②對(duì)于字段級(jí)別權(quán)限，由于只能對(duì)字段進(jìn)行查詢、插入和更新操作，所以字段級(jí)別權(quán)限只支持SELECT、INSERT和UPDATE權(quán)限；③使用GRANT語(yǔ)句授予不同級(jí)別的權(quán)限，將在相應(yīng)的權(quán)限表格中，創(chuàng)建或修改相應(yīng)記錄。三、管理權(quán)限3、MySQL權(quán)限管理（1）授予權(quán)限2025/6/817:1129如果要查看用戶的權(quán)限，可以使用SHOWGRANTS語(yǔ)句，格式如下：SHOWGRANTSFOR'用戶名'@'主機(jī)信息';【例8-16】查看user1用戶的權(quán)限授予情況。SHOWGRANTSFOR'user1'@'%';如果要查看當(dāng)前用戶的權(quán)限授予情況，可以使用以下語(yǔ)句：SHOWGRANTSFORCURRENT_USER;三、管理權(quán)限3、MySQL權(quán)限管理（2）查看權(quán)限2025/6/817:1130REVOKE命令用于撤銷以前授予的權(quán)限，并不禁止用戶、角色通過(guò)別的方式獲得的權(quán)限。REVOKE命令的語(yǔ)法如下：REVOKE權(quán)限名稱[(字段列表)][,權(quán)限名稱[(字段列表)]]...ON回收權(quán)限的層次及對(duì)象FROM'用戶名'@'主機(jī)信息'[,'用戶名'@'主機(jī)信息']...;【例8-17】回收user1用戶對(duì)stu數(shù)據(jù)庫(kù)中對(duì)象的DELETE權(quán)限和SELECT權(quán)限。命令如下：REVOKESELECT,DELETE

ONstu.*FROM'user1'@'%';三、管理權(quán)限3、MySQL權(quán)限管理（3）回收權(quán)限2025/6/817:1131角色（Role）是對(duì)權(quán)限集中管理的一種機(jī)制，是權(quán)限的集合。通常根據(jù)特定需要，將一系列權(quán)限集中在一起構(gòu)成角色。三、管理權(quán)限4、

角色表1的查詢權(quán)表2的刪除權(quán)表2的刪除權(quán)表3的查詢權(quán)表4的插入權(quán)用戶1用戶2用戶3用戶4角色1角色2可以將用戶添加到角色中，使其成為角色中的成員，從而具有角色的權(quán)限。一個(gè)用戶可以分配多個(gè)角色，也允許一個(gè)角色分配給多個(gè)用戶。2025/6/817:1132創(chuàng)建角色的語(yǔ)法格式如下：CREATEROLE'角色名稱'【例8-18】創(chuàng)建一個(gè)學(xué)生角色teacher。CREATEROLEteacher三、管理權(quán)限4、

角色（1）創(chuàng)建角色2025/6/817:1133可使用Grant語(yǔ)句將權(quán)限賦予角色?！纠?-19】為教師角色teacher授予服務(wù)器級(jí)別全局權(quán)限。GRANTALLPREVILEGEON*.*TOteacher;【例8-20】為學(xué)生角色stu授予sc表的查找SELECT、插入數(shù)據(jù)INSERT、更新數(shù)據(jù)UPDATE和刪除數(shù)據(jù)DELETE權(quán)限。GRANTSELECT,INSERT,UPDATE,DELETEONscTOstu;三、管理權(quán)限4、

角色（2）為角色授權(quán)2025/6/817:1134可使用GRANT語(yǔ)句為用戶分配