Mysql中GRANT ALL PRIVILEGES ON总结

这是一个功能强大但风险很高的命令，它授予一个 MySQL 用户在特定数据库对象上几乎所有的权限。理解其细节对于数据库安全管理至关重要。

1. 命令的核心含义与警告

含义： 将某个数据库或表上的所有权限（不包括 GRANT OPTION 本身，除非额外指定）授予给一个指定的用户。

⚠️ 严重警告：

• 这是一个非常强大的命令，滥用会导致严重的安全风险。 不要随意使用，尤其是在生产环境中。
• 原则上应遵循 “最小权限原则” ，即只授予用户完成其工作所必需的最小权限，而不是简单地 ALL PRIVILEGES。
• 通常，ALL PRIVILEGES 只应授予给最受信任的应用程序或数据库管理员。

2. 语法详解

GRANT ALL PRIVILEGES ON database_name.* TO 'username'@'host' IDENTIFIED BY 'password' WITH GRANT OPTION;

让我们分解每个部分：

• GRANT ALL PRIVILEGES ON: 命令的固定开头。
• database_name.*: 权限的作用范围（对象级别）。这是关键部分，有以下几种模式：
  • *.*: 所有数据库的所有表。这是全局权限，相当于给了用户“超级管理员”身份。极度危险，应极其谨慎使用。
  • mydb.*: 名为 mydb 的数据库下的所有表。这是数据库级别的权限，是最常见的用法之一。用户可以对 mydb 数据库进行任何操作。
  • mydb.mytable: 名为 mydb 的数据库中名为 mytable 的特定表。这是表级别的权限。
• TO 'username'@'host': 指定接收权限的用户和其允许连接的主机。这是MySQL安全模型的核心。
  • 'username': 你要授予权限的MySQL用户名。
  • 'host': 规定该用户只能从哪个主机连接到MySQL服务器。这是防止未授权访问的重要屏障。
    • 'localhost': 只能从MySQL服务器本机连接。
    • '192.168.1.%': 可以从 192.168.1.0/24 这个网段连接。
    • '%': 可以从任何主机连接。在生产环境中应尽量避免使用，除非有充分理由。
• IDENTIFIED BY 'password': （可选，但强烈推荐）在授予权限的同时为用户设置密码。如果用户已存在，则会修改其密码。MySQL 8.0+ 推荐使用更安全的 IDENTIFIED WITH caching_sha2_password BY 'password'。
• WITH GRANT OPTION: （可选，但非常危险）如果加上这个子句，被授予权限的用户可以把他自己的权限（包括 ALL PRIVILEGES）再授予给其他用户。通常不应授予此选项，除非你完全信任该用户。

3. 权限具体包括哪些？

在MySQL中，ALL PRIVILEGES 具体包括以下权限（作用于指定的数据库级别时）：

• ALTER: 修改表结构
• ALTER ROUTINE: 修改存储过程和函数
• CREATE: 创建数据库和表
• CREATE ROUTINE: 创建存储过程和函数
• CREATE TEMPORARY TABLES: 创建临时表
• CREATE VIEW: 创建视图
• DELETE: 删除数据
• DROP: 删除数据库、表、视图
• EVENT: 创建、修改、删除事件
• EXECUTE: 执行存储过程和函数
• INDEX: 创建和删除索引
• INSERT: 插入数据
• LOCK TABLES: 锁定表
• REFERENCES: （未实现，预留）
• SELECT: 查询数据
• SHOW VIEW: 查看视图定义
• TRIGGER: 创建和删除触发器
• UPDATE: 更新数据

注意： 它不包括 FILE（服务器文件读写）、PROCESS（查看所有进程）、RELOAD（重载配置）、SHUTDOWN（关闭数据库）等全局管理权限。这些权限需要单独授予。

4. 常用示例

示例 1：创建一个管理员用户，管理 app_db 数据库
（允许从内网网段 192.168.1.0/24 连接）

CREATE USER 'app_admin'@'192.168.1.%' IDENTIFIED BY 'a_very_strong_password_123!';
GRANT ALL PRIVILEGES ON app_db.* TO 'app_admin'@'192.168.1.%';
FLUSH PRIVILEGES;

示例 2：创建一个用户，对 reports 数据库有只读权限
（对比一下，这才是更安全的做法）

CREATE USER 'report_user'@'localhost' IDENTIFIED BY 'another_password';
GRANT SELECT ON reports.* TO 'report_user'@'localhost';
FLUSH PRIVILEGES;

示例 3：（危险示例）创建一个超级用户，可从任何地方连接
⚠️ 绝对不要在生产环境中这样做！

GRANT ALL PRIVILEGES ON *.* TO 'superuser'@'%' IDENTIFIED BY 'weakpassword' WITH GRANT OPTION;
FLUSH PRIVILEGES;

5. 必要步骤：FLUSH PRIVILEGES

在执行 GRANT 语句后，必须运行：

FLUSH PRIVILEGES;

这个命令告诉MySQL服务器重新加载权限表，使新的权限设置立即生效。否则，更改可能需要服务器重启才能生效。

例外： 如果使用 GRANT, CREATE USER, ALTER USER 等标准DCL（数据控制语言）语句，MySQL会自动刷新权限。但使用 INSERT, UPDATE, DELETE 直接修改权限表（如 mysql.user）时，则必须手动执行 FLUSH PRIVILEGES;。作为一种好习惯，加上它总是安全的。

6. 如何查看和撤销权限

查看授予了哪些权限：

SHOW GRANTS FOR 'username'@'host';

撤销所有权限（不会删除用户）：

REVOKE ALL PRIVILEGES ON database_name.* FROM 'username'@'host';
FLUSH PRIVILEGES;

撤销 GRANT OPTION：

REVOKE GRANT OPTION ON database_name.* FROM 'username'@'host';
FLUSH PRIVILEGES;

总结

希望这个详细的解释能帮助你安全有效地使用这个强大的命令。