GRANT ALL ON samp_db.* TO rex@192.168.128.0/17 IDENTIFIEDBY "ice" 第一条语句指明用户可进行连接的特定的主机。第二条语句指定129.168.128 Class C 子网的IP 模式。在第三条语句中， 192.168.128.0/17 指定一个17 位二进制的网络号，并将任何主机与其IP 地址的前17 个二进制位中的192.168.128.0/17 进行匹配。 如果MySQL抱怨您指定的用户值，则可能需要使用引号（但对用户名和主机名分别加引号）： GRANT ALL ON samp_db.president TO "my friend"@"boa.snake.net" 2. 用户应具有什么级别的权限，这些权限适用于什么 您可授予不同级别的权限。全局权限的功能最强，因为它们适用于任何数据库。为了使ethel 成为可以进行一切操作的超级用户（其中包括可以对其他用户授权），发布下列语句： GRANT ALL ON *.* TO ethel@localhost IDENTIFIEDBY "coffee" WITH GRANT OPTION ON 子句中*.* 说明符的意思是“所有数据库，所有的表”，为保险起见，我们已经指定ethel 只能从本地主机中连接。限制超级用户从哪些主机上进行连接通常是明智的做法，因为它限制住了其他用户对口令进行试探。 有些权限（ F I L E、P R O C E S S、RELOAD 和S H U T D O W N）是管理权限，只能用NO *.* 全局权限说明符来授予。如果希望的话，也可以不用授予数据库级的权限来授予这些权限。例如，下列语句建立了一个flush 用户，它除了发布FLUSH 语句外不做其他任何事情。在管理脚本中这可能是有用的，因为需要在这些脚本中执行诸如在日志文件循环期间刷新日志的操作： GRANT RELOAD ON *.* TO flush@localhost IDENTIFIEDBY "flushpass" 通常授予管理权限应该是保守的，因为具有这些权限的用户可能影响服务器的操作。 数据库级的权限适用于特定数据库中的所有表。这些权限使用ON db_name.* 子句进行授予： GRANT ALL ON samp_db.* TO bill@racer.snake.net IDENTIFIEDBY "rock" GRANT SELECT ON menagerie.* TO ro_user@% IDENTIFIEDBY "dirt" 第一条语句将bill 的所有权限授予samp_db 数据库的任何表。第二条语句创建一个限制访问的用户r o _ user（只读用户），它可以访问menagerie 数据库的所有表，但只能读取。也就是说，该用户只能发布SELECT 语句。 怎样在授权表项中指定本地主机名 如果您使用服务器的主机名而非localhost，通常存在从该服务器主机连接的问题。这可能是由于在授权表中指定名字的方法和名字分解器例程（ name reslover routine）向程序报告名字的方法之间的错误匹配。如果分解器报告了一个非限定的名字（如p i t - v i per），但授权表包含了具有全限定的名字的项（如p i t - v i per. s n a k e . n e t，反之亦然），则发生错误匹配。 为了确定这种情况是否正在系统中发生，可试着用-h 选项连接到本地服务器，该选项指定了主机的名字。然后查看服务器的常规日志文件。它是怎样报告主机名的？是以非限定形式还是限定形式？不论它是哪种形式，都将告诉您在发布GRANT 语句时需要怎样指定用户说明符的主机名部分。 可以同时列出许多被授予的单个权限。例如，如果想让用户能读取和修改已有表的内容，但又不允许创建新表或删除表，可按如下授权： GRANT SELECT,INSERT,DELETE,UPDATE ON samp_db.* TO jennie@% IDENTIFIEDBY "boron" 对于更小粒度（ f i n e - g r a i n e d）的访问控制，可以在单个表上授权，甚至在表的单个列上授权。当存在要对用户隐藏的表时，或者，当只允许用户修改特定列时，列专有的权限是有用的。假定历史同盟会中有一些志愿者利用您作为同盟会秘书应履行的职责来帮助您工作。这是一个好消息，但您决定首先给新的助手授予对member 表只读的权限（该表中包含了会员资格的信息），然后再对他们增加授予该表的expiration 列的列专有UPDATE权限。也就是说，您的助手可以在人们更新其会员资格时进行更改截止日期的工作。设置此MySQL用户的语句如下： 第一条语句授予对整个member 表的读访问权并设置口令。第二条语句增加UPDATE权限，但只是对expiration 列。此时不必要再指定口令，因为在第一条语句中已经完成了。 如果想要为多个列授予列专有的权限，可指定一个列清单，并用逗号将这些列分隔。例如，为了给assistant 用户增加对member 表地址列的UPDATE权限，可以使用下列语句。新的权限将被增加到对该用户来说已经存在的所有列上： GRANT UPDATE (street,city,state,zip) ON samp_db.member TO assistant@localhost 通常，不要给用户授予比实际需要更大的权限。但是，当您想要使用户能够创建存储中间结果的临时表，而又不允许用户在包含有他们不能修改的数据的数据库中这样做时，就有了要在数据库上授予相当多的许可权限的理由。您可以建立一个单独的数据库（笔者称它为 t m p）并授予用户该数据库的所有权限。例如，如果想要mars.net 域的主机中的任何用户都能够使用tmp 数据库，可发布下列GRANT 语句： GRANT ALL ON tmp.* TO ""@%.mars.net 在完成这些之后，用户可使用tmp.tbl_name 格式的名字创建和引用tmp 数据库中的表（用户说明符中的“” 创建一个匿名用户项，任何用户都与空白用户名相匹配）。 3. 允许用户管理权限吗 通过授予数据库所有者数据库的所有权限并在操作时指定WITH GRANT OPTION，可以允许数据库所有者控制对该数据库的访问。例如，如果要让alicia 能在big.corp.com 域的所有主机中进行连接并管理sales 数据库中所有表的权限，应使用下列GRANT 语句： 实际上，WITH GRANT OPTION 子句允许将访问的权利授予给另一个用户。要知道，具有GRANT 权限的两个用户可以相互授予自己的权限。如果只给一个用户授予SELECT 权限而给另一个用户除SELECT 外还授予了GRANT 和其他的权限，则第二个用户可以使第一个用户“强大”起来。
取消权限和删除用户
为了收回某个用户的权限，可使用REVOKE 语句。除了要用FROM 替换TO 并且没有IDENTIFIEDBY 或WITH GRANT OPTION 子句外，REVOKE 的语法与GRANT 语句非常相似： REVOKE privileges (columns) ON what FROM user user 部分必须与您想要取消其权限的用户的原始GRANT 语句的user 部分相匹配。priv i l e g e s 部分不需要匹配，您可用GRANT 语句授权，然后用REVOKE 语句取消其中的一部分。REVOKE 语句只删除权限，不删除用户。用户的项仍然保留在user 表中，即使您取消了该用户的所有权限也是如此。这意味着该用户仍然可连接到服务器上。要想删除整个用户，必须用DELETE 语句将该用户的记录从user 表中直接删除： DELETE 语句删除该用户的项， FLUSH 语句告诉服务器重新加载授权表（当使用GRANT 或REVOKE 语句，而不是直接修改授权表时，这些表将自动重新加载）。 11.4 节将讨论为什么删除user 表项的原因。 一个权限难题，第一部分 下面是一个在MySQL邮件清单中反复出现的情况：一位新的MySQL管理员给某用户增加一个项，使用了主机名部分，该部分是用一个模式来指定的。例如：
注：本站部分文章源于互联网，版权归原作者所有！如有侵权，请原作者与本站联系，本站将立即删除！ 本站文章除特别注明外均可转载，但需注明出处！ [MinTao学以致用网] 
