項(xiàng)目10“在線商店”項(xiàng)目

的安全管理任務(wù)1理解數(shù)據(jù)庫安全任務(wù)1理解數(shù)據(jù)庫安全10.1.1權(quán)限分類10.1.2授權(quán)過程任務(wù)2用戶管理任務(wù)3權(quán)限管理任務(wù)4“在線商店”項(xiàng)目的安全數(shù)據(jù)庫安全概述數(shù)據(jù)庫安全是指允許合法用戶的合法訪問，拒絕非法用戶的訪問和合法用戶的非法訪問，從而保護(hù)數(shù)據(jù)不被泄露、不被篡改、不被破壞。簡單地說，就是允許哪個(gè)用戶對什么數(shù)據(jù)進(jìn)行什么操作哪個(gè)用戶MySQL提供了用戶賬號(hào)，只允許合法的用戶登錄從什么途徑MySQL對用戶的訪問途徑做出限制，例如是否允許用戶遠(yuǎn)程登錄對什么資源指定可以訪問的資源，資源是指數(shù)據(jù)庫、表、列、存儲(chǔ)函數(shù)或存儲(chǔ)過程。例如可以訪問哪一個(gè)數(shù)據(jù)庫、哪張表，哪一列，或運(yùn)行哪個(gè)存儲(chǔ)函數(shù)或存儲(chǔ)過程做什么操作指定具體的操作，例如查詢數(shù)據(jù)，還是更新、插入或刪除數(shù)據(jù)，對存儲(chǔ)函數(shù)和存儲(chǔ)過程，則指定是否有權(quán)限運(yùn)行微課：10-1數(shù)據(jù)庫安全10.1.1權(quán)限分類針對不同的數(shù)據(jù)庫對象，權(quán)限也有不同，例如針對表是否有權(quán)查詢、插入數(shù)據(jù)、更新數(shù)據(jù)和刪除數(shù)據(jù)。表10.1所示是3大類（表、列和存儲(chǔ)例程）權(quán)限設(shè)置權(quán)限信息所有安全相關(guān)的信息保存在系統(tǒng)數(shù)據(jù)庫mysql中用戶信息保存在系統(tǒng)數(shù)據(jù)庫mysql中的user表授權(quán)信息保存在系統(tǒng)數(shù)據(jù)庫mysql中的tables_priv

表（以及columns_priv、procs_priv表）select*frommysql.tables_priv;select*frommysql.user;10.1.2授權(quán)過程權(quán)限管理的原則是“擁有授權(quán)即可為，沒有授權(quán)不可為”。就是說，任何一項(xiàng)權(quán)限都必須有明確的授權(quán)，否則就是沒有權(quán)限。1．身份驗(yàn)證身份驗(yàn)證就是用戶登錄的驗(yàn)證過程MySQL客戶端包括命令行客戶端（Windows或Linux版）圖形界面客戶端（dbForge等）應(yīng)用程序連接（PHP代碼等）本地登錄還是遠(yuǎn)程登錄本地登錄如果MySQL客戶端和MySQL服務(wù)器在同一臺(tái)計(jì)算機(jī)上，就是本地登錄遠(yuǎn)程登錄如果MySQL客戶端和MySQL服務(wù)器不在同一臺(tái)計(jì)算機(jī)上，就是遠(yuǎn)程登錄用戶MySQL客戶端MySQL服務(wù)器10.1.2授權(quán)過程（續(xù)）2．權(quán)限核實(shí)MySQL是一個(gè)多用戶的數(shù)據(jù)庫管理系統(tǒng)，允許不同的用戶登錄，不同的用戶具有不同的權(quán)限當(dāng)一個(gè)用戶登錄后，需要核實(shí)該用戶的權(quán)限，這個(gè)過程分為3個(gè)層次全局層次在用戶表（user）中查詢權(quán)限，如果獲得權(quán)限，即認(rèn)可這個(gè)授權(quán)，如果沒有獲得權(quán)限，則要進(jìn)行數(shù)據(jù)庫層次的授權(quán)。數(shù)據(jù)庫層次在數(shù)據(jù)庫表（db）中查詢針對該數(shù)據(jù)庫的權(quán)限，如果獲得權(quán)限，即認(rèn)可這個(gè)授權(quán)，如果沒有獲得權(quán)限，則要進(jìn)行表、列和存儲(chǔ)例程層次的授權(quán)。表、列和存儲(chǔ)例程層次在tables_priv、columns_priv、procs_priv表中查詢針對指定數(shù)據(jù)庫的表、列、存儲(chǔ)例程（存儲(chǔ)函數(shù)、存儲(chǔ)過程）的權(quán)限，如果獲得權(quán)限，即擁有這個(gè)授權(quán)。如果在上述3個(gè)層次都沒有獲得權(quán)限，則拒絕授權(quán)。任務(wù)2用戶管理任務(wù)1理解數(shù)據(jù)庫安全任務(wù)2用戶管理10.2.1用戶管理概述10.2.2【實(shí)訓(xùn)10-1】用Createuser語句創(chuàng)建用戶賬號(hào)（Linux）10.2.3【實(shí)訓(xùn)10-2】用Createuser語句創(chuàng)建用戶賬號(hào)（Windows）10.2.4【實(shí)訓(xùn)10-3】用Grant語句創(chuàng)建用戶賬號(hào)（過時(shí)的功能）10.2.5【實(shí)訓(xùn)10-4】管理用戶賬號(hào)10.2.6MySQL5.7的安全性任務(wù)3權(quán)限管理任務(wù)4“在線商店”項(xiàng)目的安全10.2.1用戶管理概述在管理用戶時(shí)，需要同時(shí)關(guān)注用戶可以從哪里登錄登錄方式有兩種本地登錄遠(yuǎn)程登錄登錄途徑有三種本地登錄MySQL服務(wù)器就在本地遠(yuǎn)程終端+本地登錄MySQL服務(wù)器在遠(yuǎn)程遠(yuǎn)程登錄MySQL服務(wù)器在遠(yuǎn)程在管理用戶時(shí)關(guān)注的是登錄方式，是否允許遠(yuǎn)程登錄，如果允許，還可以指定允許從哪個(gè)IP地址登錄無需關(guān)注登錄途徑，只允許本地登錄的用戶，也可以通過遠(yuǎn)程終端，使用遠(yuǎn)程的MySQL服務(wù)器10.2.2【實(shí)訓(xùn)10-1】創(chuàng)建用戶賬號(hào)（Linux）1．創(chuàng)建賬號(hào)在遠(yuǎn)程終端上用root賬號(hào)登錄MySQL，執(zhí)行下述兩條語句，分別創(chuàng)建兩個(gè)賬號(hào)。（1）只能本地登錄的賬號(hào)下述命令創(chuàng)建一個(gè)用戶huang，密碼是huang123，只能從本地登錄。（2）可以從任意主機(jī)登錄的賬號(hào)下述命令創(chuàng)建一個(gè)用戶huangng，密碼是huangng123，可以從任意主機(jī)登錄。Createuser'huang'@'localhost'identifiedby'huang123';Createuser'huangng'@'%'identifiedby'huangng123';創(chuàng)建賬號(hào)就這么簡單，但是在實(shí)訓(xùn)時(shí)，要確認(rèn)一下效果【實(shí)訓(xùn)10-1】2．驗(yàn)證本地登錄2．驗(yàn)證本地登錄退出MySQL，在遠(yuǎn)程終端上發(fā)出如下命令，分別以這兩個(gè)新建的賬號(hào)登錄?？梢宰C明，從本地登錄，兩個(gè)賬號(hào)都能登

錄成功，如圖10.6所示。mysql-uhuangng-phuangng123mysql-uhuang-phuang1233．驗(yàn)證遠(yuǎn)程登錄3．驗(yàn)證遠(yuǎn)程登錄遠(yuǎn)程登錄是要從一臺(tái)計(jì)算機(jī)上的客戶端登錄到另一臺(tái)計(jì)算機(jī)上的MySQL服務(wù)器在本實(shí)訓(xùn)中，就是從Windows登錄到Linux上的MySQL服務(wù)器分別發(fā)出如下命令，以這兩個(gè)新建的賬號(hào)進(jìn)行遠(yuǎn)程登錄（其中的IP地址需要修改）驗(yàn)證遠(yuǎn)程登錄的結(jié)果如圖10.7所示，可以看到用戶huang不能遠(yuǎn)程登錄，而huangng可以遠(yuǎn)程登錄為了實(shí)現(xiàn)遠(yuǎn)程登錄，還需要進(jìn)行下述配置4．設(shè)置MySQL服務(wù)器允許遠(yuǎn)程登錄詳見Jitor實(shí)訓(xùn)中的指導(dǎo)5．設(shè)置Linux服務(wù)器的防火墻允許3306端口通過詳見Jitor實(shí)訓(xùn)中的指導(dǎo)mysql-h192.168.206.133-uhuangng-phuangng123mysql-h192.168.206.133-uhuang-phuang12310.2.3【實(shí)訓(xùn)10-2】創(chuàng)建用戶賬號(hào)（Windows）1．創(chuàng)建賬號(hào)在Windows命令行或dbForge中登錄MySQL，執(zhí)行下述兩條語句，分別創(chuàng)建兩個(gè)賬號(hào)。（1）只能本地登錄的賬號(hào)下述命令創(chuàng)建一個(gè)用戶huang，密碼是huang123，只能從本地登錄。（2）可以從任意主機(jī)登錄的賬號(hào)下述命令創(chuàng)建一個(gè)用戶huangng，密碼是huangng123，可以從任意主機(jī)登錄。Createuser'huang'@'localhost'identifiedby'huang123';Createuser'huangng'@'%'identifiedby'huangng123';【實(shí)訓(xùn)10-2】創(chuàng)建賬號(hào)就這么簡單，但是在實(shí)訓(xùn)時(shí)，要確認(rèn)一下效果2．驗(yàn)證本地登錄2．驗(yàn)證本地登錄如果采用MySQL命令行客戶端，則發(fā)出如下命令，分別以這兩個(gè)新建的賬號(hào)登錄。如果采用dbForge則要新建一個(gè)Connection，指定賬號(hào)和密碼可以證明，從本地登錄，兩個(gè)賬號(hào)都能登錄成功mysql-uhuangng-phuangng123mysql-uhuang-phuang1233．驗(yàn)證遠(yuǎn)程登錄3．驗(yàn)證遠(yuǎn)程登錄遠(yuǎn)程登錄是要從一臺(tái)計(jì)算機(jī)上的客戶端登錄到另一臺(tái)計(jì)算機(jī)上的MySQL服務(wù)器在本實(shí)訓(xùn)中，可以是從Linux登錄到

Windows上的MySQL服務(wù)器，也可以是從另一臺(tái)Windows計(jì)算機(jī)登錄，只要有網(wǎng)絡(luò)連接分別發(fā)出如下命令，以這兩個(gè)新建的賬號(hào)進(jìn)行遠(yuǎn)程登錄（其中的IP是Windows的IP地址）可以證明用戶huang不能遠(yuǎn)程登錄，而huangng可以遠(yuǎn)程登錄注：為了實(shí)現(xiàn)遠(yuǎn)程登錄，還需要設(shè)置MySQL服務(wù)器允許遠(yuǎn)程登錄，以及設(shè)置Windows的防火墻允許3306端口通過，不同的防火墻軟件，設(shè)置的方式不同mysql-h192.168.206.133-uhuangng-phuangng123mysql-h192.168.206.133-uhuang-phuang12310.2.5【實(shí)訓(xùn)10-4】管理用戶賬號(hào)1．列出用戶賬號(hào)列出所有用戶賬號(hào)需要訪問mysql數(shù)據(jù)庫的user表，語句如下。2．刪除用戶賬號(hào)刪除用戶賬號(hào)的語法格式如下。例如刪除剛才創(chuàng)建的用戶zhangsan，代碼如下。創(chuàng)建用戶、刪除用戶等與安全有關(guān)的操作都需要較高的權(quán)限，通常要以根用戶身份登錄后才能進(jìn)行操作。Dropuserzhangsan@localhost;Selectuser,host,passwordfrommysql.user;Dropuser用戶@主機(jī);【實(shí)訓(xùn)10-4】10.2.5【實(shí)訓(xùn)10-4】管理用戶賬號(hào)（續(xù)）3．修改用戶密碼（MySQL5.6及之前的版本）修改用戶密碼的語法格式如下例如修改前述用戶huang的密碼為huang456，代碼如下其中等號(hào)=之后的password()是一個(gè)密碼加密函數(shù)，它將密碼加密后保存到數(shù)據(jù)庫中如果省略了“for用戶@主機(jī)”部分，則是修改當(dāng)前用戶自己的密碼只有具有一定權(quán)限的用戶才能修改其他用戶的密碼Setpassword[for用戶@主機(jī)]=password('密碼');Setpasswordforhuang@localhost=password('huang456');10.2.6MySQL5.7和8.0的安全性自5.7版起，在安全性方面，取消了一些不夠安全的功能，同時(shí)新增了一些功能1．過時(shí)的功能自5.7版起，在安全方面，MySQL取消的部分功能如下。取消了用Grant語句創(chuàng)建用戶賬號(hào)的功能，Grant語句僅用于授權(quán)，從而避免了誤操作。取消了用Grant語句修改用戶賬號(hào)的其他屬性的功能，從而避免了誤操作。密碼加密函數(shù)password()的過時(shí)，導(dǎo)致Setpassword語句不能使用password()函數(shù)來修改密碼2．新增的功能自5.7版起，在安全方面，MySQL新增的部分功能如下。改用Alteruser語句修改用戶密碼。新增設(shè)置密碼過期策略。可以用Alteruser語句鎖定用戶或解鎖用戶新增的功能（1）修改賬號(hào)密碼修改當(dāng)前用戶的密碼的語句如下。其中，user()表示當(dāng)前用戶，單引號(hào)引起來的部分是新密碼，如果提示密碼太短，則可以用sasa作為新密碼。修改其他用戶的密碼的語句如下，這時(shí)當(dāng)前用戶需要擁有修改密碼的權(quán)限。Alteruseruser()identifiedby'sa';Alteruser'testuser'@'localhost'identifiedby'sa';新增的功能（2）設(shè)置密碼過期策略密碼過期策略的意思是一個(gè)密碼達(dá)到使用期限后將會(huì)過期，然后需要重新設(shè)置密碼，才能繼續(xù)使用。例如指定'testuser'@'localhost'的密碼30天過期，代碼如下或者指定用戶賬號(hào)的密碼永不過期，代碼如下或者指定用戶賬號(hào)使用默認(rèn)的密碼過期全局策略，代碼如下當(dāng)密碼過期后，用戶登錄時(shí)的提示信息如下這時(shí)必須使用Alteruser語句修改密碼后，才能在MySQL中繼續(xù)操作Alteruser'testuser'@'localhost'passwordexpireinterval30day;Alteruser'testuser'@'localhost'passwordexpirenever;Alteruser'testuser'@'localhost'passwordexpiredefault;ERROR1820(HY000):YoumustresetyourpasswordusingALTERUSERstatementbeforeexecutingthisstatement.新增的功能（3）鎖定用戶鎖定用戶是指不允許指定的用戶賬號(hào)登錄，直到解鎖該用戶。鎖定指定用戶的語句如下。被鎖定的用戶登錄時(shí)，會(huì)得到下述出錯(cuò)信息。解鎖指定用戶的語句如下。Alteruser'testuser'@'localhost'accountlock;Accessdeniedforuser'testuser'@'localhost'.Accountislocked.Alteruser'testuser'@'localhost'accountunlock;任務(wù)3權(quán)限管理任務(wù)1理解數(shù)據(jù)庫安全任務(wù)2用戶管理任務(wù)3權(quán)限管理10.3.1權(quán)限管理概述10.3.2【實(shí)訓(xùn)10-5】權(quán)限管理任務(wù)4“在線商店”項(xiàng)目的安全10.3.1權(quán)限管理概述MySQL設(shè)置了多種權(quán)限，一些主要的權(quán)限如表10.3所示。10.3.2【實(shí)訓(xùn)10-5】權(quán)限管理1．授予權(quán)限授予權(quán)限的語法格式如下。其中，權(quán)限列表是表10.3中權(quán)限名稱的列表，用逗號(hào)分隔數(shù)據(jù)庫名如果是星號(hào)表示所有數(shù)據(jù)庫表名如果是星號(hào)表示所有表例如授予用戶huangng訪問eshop數(shù)據(jù)庫的shop_staff表查詢、刪除權(quán)限，代碼如下。如果要授予所有權(quán)限，可以用allprivileges表示所有的權(quán)限。Grant權(quán)限列表on數(shù)據(jù)庫名.表名to用戶@主機(jī);Grantselect,deleteoneshop.shop_stafftohuangng@'%';【實(shí)訓(xùn)10-5】10.3.2【實(shí)訓(xùn)10-5】權(quán)限管理（續(xù)）2．權(quán)限的層次根據(jù)授予權(quán)限時(shí)“on數(shù)據(jù)庫名.表名”的寫法，權(quán)限可以分為表10.4所示的3個(gè)層次，這些權(quán)限分別保存在mysql數(shù)據(jù)庫的user表、db表、tables_priv等表中。核實(shí)權(quán)限時(shí)，將根據(jù)表10.4所示的3個(gè)層次從上向下進(jìn)行核實(shí)，一旦獲得權(quán)限，表明獲得相應(yīng)的授權(quán)，如果在3個(gè)層次都沒有獲得權(quán)限，則拒絕授權(quán)。10.3.2【實(shí)訓(xùn)10-5】權(quán)限管理（續(xù)）3．查看權(quán)限例如查看用戶huang所擁有的權(quán)限，代碼如下。4．撤回權(quán)限撤回權(quán)限時(shí)可以撤回部分權(quán)限例如撤回用戶huangng對eshop數(shù)據(jù)庫的shop_staff表刪除權(quán)限，代碼如下。也可以撤回全部權(quán)限。例如撤回用戶huangng的所有權(quán)限，代碼如下。Showgrantsforhuangng@'%';Revokedeleteoneshop.shop_stafffromhuangng@'%';Revokeallprivileges,grantoptionfromhuangng@'%';任務(wù)4“在線商店”項(xiàng)目的安全任務(wù)1理解數(shù)據(jù)庫安全任務(wù)2用戶管理任務(wù)3權(quán)限管理任務(wù)4“在線商店”項(xiàng)目的安全10.4.1操作系統(tǒng)的安全10.4.2MySQL服務(wù)器的安全10.4.3應(yīng)用軟件的安全10.4.4【實(shí)訓(xùn)10-6】“在線商店”項(xiàng)目的安全10.4.1操作系統(tǒng)的安全本節(jié)介紹Linux的安全管理，Windows的安全管理原則上是相同的。1．賬號(hào)管理Linux操作系統(tǒng)是一個(gè)多用戶、多任務(wù)的分時(shí)操作系統(tǒng)，每個(gè)用戶賬號(hào)都擁有一個(gè)唯一的用戶名和密碼，其中根用戶（root）是權(quán)限最高的用戶賬號(hào)密碼管理中與安全有關(guān)的注意事項(xiàng)有設(shè)定密碼策略、設(shè)定用戶密碼強(qiáng)度、禁止根用戶遠(yuǎn)程登錄（這時(shí)需要?jiǎng)?chuàng)建一個(gè)專門用于遠(yuǎn)程登錄的賬號(hào)）等。2．防火墻管理防火墻是在網(wǎng)絡(luò)層面上實(shí)現(xiàn)的安全預(yù)防措施，Linux操作系統(tǒng)上的防火墻將外部網(wǎng)絡(luò)與Linux系統(tǒng)隔離，防止受到外部攻擊。防火墻設(shè)計(jì)的一個(gè)原則是僅提供最少的服務(wù)。例如，不要對外開放MySQL的3306端口，替代的辦法是通過遠(yuǎn)程終端來完成，從而避免開放3306等端口。也就是說，先通過遠(yuǎn)程終端登錄到Linux服務(wù)器，然后再在遠(yuǎn)程終端上通過本地登錄來訪問MySQL服務(wù)器。10.4.2MySQL服務(wù)器的安全一些與MySQL服務(wù)器安全有關(guān)的注意事項(xiàng)禁用MySQL遠(yuǎn)程登錄：所有維護(hù)工作都應(yīng)該通過遠(yuǎn)程登錄Linux服務(wù)器來進(jìn)行刪除無關(guān)賬號(hào)：無關(guān)的賬號(hào)有匿名賬號(hào)、密碼為空的賬號(hào)以及長期不用的賬號(hào)等，這些賬號(hào)可能留下安全漏洞。丟棄測試（test）數(shù)據(jù)庫：在實(shí)際的生產(chǎn)環(huán)境下，測試數(shù)據(jù)庫是沒有用處的，還有可能造成漏洞設(shè)置安全密碼：要保證密碼的強(qiáng)度，密碼長度為8字符以上，由大小寫字母、數(shù)字和特殊符號(hào)組成更改根用戶（root）的用戶名：改名后只能用新的名字登錄，從而提高根用戶的安全性，注意MySQL服務(wù)器的root賬號(hào)與Linux操作系統(tǒng)的root賬號(hào)是完全不同的兩個(gè)賬號(hào)。只授予賬號(hào)必須的權(quán)限：這個(gè)要求的安全性是顯而易見的。除根用戶root外，任何其他用戶不應(yīng)有mysql庫的user表的訪問權(quán)限，user表保存了用戶賬號(hào)信息，它的泄露本身就是一個(gè)巨大的安全隱患。定期備份數(shù)據(jù)庫：在項(xiàng)目11講解。10.4.3應(yīng)用軟件的安全除了操作系統(tǒng)和數(shù)據(jù)庫服務(wù)器級(jí)別上的安全，應(yīng)用軟件本身的安全也需要考慮1．應(yīng)用軟件的專用連接賬號(hào)一臺(tái)MySQL服務(wù)器上可能有多個(gè)數(shù)據(jù)庫，每個(gè)數(shù)據(jù)庫為不同的應(yīng)用軟件提供數(shù)據(jù)支持每個(gè)數(shù)據(jù)庫都有一個(gè)專用的連接賬號(hào)，從而保證應(yīng)用軟件之間的安全隔離，避免訪問其他應(yīng)用軟件的數(shù)據(jù)特別注意不應(yīng)該將root賬號(hào)作為應(yīng)用軟件的連接賬號(hào)，因?yàn)檫@樣不僅使應(yīng)用軟件可以訪問所有數(shù)據(jù)庫的數(shù)據(jù)，也容易造成root賬號(hào)密碼的泄露2．應(yīng)用軟件的用戶認(rèn)證系統(tǒng)每個(gè)數(shù)據(jù)庫應(yīng)用項(xiàng)目也需要一個(gè)自己的用戶認(rèn)證系統(tǒng)，在項(xiàng)目的需求分析階段就應(yīng)該考慮好，在數(shù)據(jù)結(jié)構(gòu)設(shè)計(jì)中包含用戶認(rèn)證系統(tǒng)的設(shè)計(jì)在線商店項(xiàng)目擁有兩套用戶認(rèn)證系統(tǒng)：一是客戶認(rèn)證系統(tǒng)，二是員工認(rèn)證系統(tǒng)，客戶表（shop_customer）和員工表（shop_staff）都有賬號(hào)和密