Оператор GRANT предоставляет привилегии пользователям MySQL.

Для предоставления привилегии с помощью GRANT, у вас должна быть привилегия GRANT OPTION, а также те привилегии, которые вы предоставляете. (В качестве альтернативы, если у вас есть привилегия UPDATE для таблиц в системе mysql, вы можете предоставить любые привилегии любой учетной записи.) Когда системная переменная read_only включена, GRANT дополнительно требует привилегию SUPER.

Оператор REVOKE связан с GRANT и позволяет администраторам отзывать привилегии учетных записей. См. Раздел 13.7.1.6, «Оператор REVOKE».

Каждое имя учетной записи использует формат, описанный в Разделе 6.2.4, «Указание имён учетных записей». Например:

GRANT ALL ON db1.* TO 'jeffrey'@'localhost';

Часть имени хоста учетной записи, если она опущена, по умолчанию устанавливается в '%'.

Обычно администратор базы данных сначала использует CREATE USER для создания учетной записи и определения её характеристик, не связанных с привилегиями, таких как пароль, использование защищённых соединений и ограничения доступа к ресурсам сервера, а затем использует GRANT для определения её привилегий. ALTER USER может быть использован для изменения характеристик существующих учетных записей, не связанных с привилегиями. Например:

CREATE USER 'jeffrey'@'localhost' IDENTIFIED BY 'password';
GRANT ALL ON db1.* TO 'jeffrey'@'localhost';
GRANT SELECT ON db2.invoice TO 'jeffrey'@'localhost';
ALTER USER 'jeffrey'@'localhost' WITH MAX_QUERIES_PER_HOUR 90;

Из программы mysql, GRANT отвечает с Query OK, 0 rows affected при успешном выполнении. Для определения привилегий, полученных в результате операции, используйте SHOW GRANTS. См. Раздел 13.7.5.21, «Оператор SHOW GRANTS».

GRANT поддерживает имена хостов длиной до 60 символов. Имена пользователей могут быть длиной до 32 символов. Имена баз данных, таблиц, столбцов и процедур могут иметь длину до 64 символов.

Некоторые объекты в операторах GRANT подлежат цитированию, хотя в многих случаях это необязательно: имена учетной записи, базы данных, таблицы, столбца и процедуры. Например, если значение user_name или host_name в имени учетной записи допустимо как нецитируемый идентификатор, вам не нужно его цитировать. Однако кавычки необходимы для указания user_name строки, содержащей специальные символы (такие как -), или host_name строки, содержащей специальные символы или символы подстановки, такие как % (например, 'test-user'@'%.com'). Имя пользователя и имя хоста следует цитировать отдельно.

Для указания цитируемых значений:

Рекомендации по цитированию строк и идентификаторов см. в разделе 9.1.1 «Строковые литералы» и разделе 9.2 «Имена объектов схемы».

Символы подстановки _ и % разрешены при указании имен баз данных в операторах GRANT, предоставляющих привилегии на уровне базы данных (GRANT ... ON db_name.*). Это означает, что для использования символа _ в качестве части имени базы данных необходимо указать его с помощью символа экранирования \ как \_ в операторе GRANT, чтобы предотвратить возможность доступа пользователя к дополнительным базам данных, соответствующим шаблону подстановки (например, GRANT ... ON `foo\_bar`.* TO ...).

Выдача нескольких операторов GRANT, содержащих символы подстановки, может не иметь ожидаемого эффекта на операторы DML; при разрешении предоставления прав, включающих символы подстановки, MySQL учитывает только первое соответствующее предоставление прав. Другими словами, если у пользователя есть два предоставления прав на уровне базы данных, использующие символы подстановки, которые соответствуют одной и той же базе данных, применяется предоставление прав, созданное первым. Рассмотрим базу данных db и таблицу t, созданные с помощью операторов, показанных здесь:

mysql> CREATE DATABASE db;
Query OK, 1 row affected (0.01 sec)

mysql> CREATE TABLE db.t (c INT);
Query OK, 0 rows affected (0.01 sec)

mysql> INSERT INTO db.t VALUES ROW(1);
Query OK, 1 row affected (0.00 sec)

Далее (предполагая, что текущая учетная запись — это учетная запись MySQL root или другая учетная запись, обладающая необходимыми привилегиями), мы создаем пользователя u, а затем выводим два оператора GRANT, содержащие символы подстановки, следующим образом:

mysql> CREATE USER u;
Query OK, 0 rows affected (0.01 sec)

mysql> GRANT SELECT ON `d_`.* TO u;
Query OK, 0 rows affected (0.01 sec)

mysql> GRANT INSERT ON `d%`.* TO u;
Query OK, 0 rows affected (0.00 sec)

mysql> EXIT

Bye

Если мы завершим сеанс и затем снова войдем с клиентом mysql, на этот раз как u, мы увидим, что у этой учетной записи есть только привилегия, предоставленная первым соответствующим предоставлением прав, но не вторым:

$> mysql -uu -hlocalhost

Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 10
Server version: 5.7.48-tr Source distribution

Copyright (c) 2000, 2023, Oracle and/or its affiliates.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or '\h' for help. Type '\c' to clear the current input
statement.

mysql> TABLE db.t;
+------+
| c    |
+------+
|    1 |
+------+
1 row in set (0.00 sec)

mysql> INSERT INTO db.t VALUES ROW(2);
ERROR 1142 (42000): INSERT command denied to user 'u'@'localhost' for table 't'

Когда имя базы данных не используется для предоставления прав на уровне базы данных, а используется в качестве квалификатора для предоставления прав на какой-либо другой объект, например, таблицу или процедуру (например, GRANT ... ON db_name.tbl_name), MySQL интерпретирует символы подстановки как буквальные символы.

Значение user в операторе GRANT указывает на учетную запись MySQL, к которой относится данный оператор. Для предоставления прав пользователям с произвольных хостов MySQL поддерживает указание значения user в форме 'user_name'@'host_name'.

Вы можете использовать подстановочные знаки в имени хоста. Например, 'user_name'@'%.example.com' относится к user_name для любого хоста в домене example.com, а 'user_name'@'198.51.100.%' относится к user_name для любого хоста в подсети класса C 198.51.100.

Простая форма 'user_name' является синонимом для 'user_name'@'%'.

MySQL не поддерживает подстановочные знаки в именах пользователей. Для ссылки на анонимного пользователя укажите учетную запись с пустым именем пользователя с помощью оператора GRANT:

GRANT ALL ON test.* TO ''@'localhost' ...;

В этом случае любой пользователь, подключающийся с локального хоста с правильным паролем для анонимного пользователя, получает доступ с привилегиями, связанными с анонимной учетной записью.

Дополнительную информацию об именах пользователей и хостов в именах учетных записей см. в разделе 6.2.4, «Указание имен учетных записей».

SELECT Host, User FROM mysql.user WHERE User='';

DROP USER ''@'localhost';

Для синтаксиса GRANT, который разрешает указание значения auth_option после значения user, auth_option начинается с IDENTIFIED и указывает, как учетная запись проходит аутентификацию, задавая плагин аутентификации учетной записи, данные для аутентификации (например, пароль) или то и другое. Синтаксис оператора auth_option такой же, как и для оператора CREATE USER. Подробнее см. в разделе 13.7.1.2, «Оператор CREATE USER».

Когда IDENTIFIED присутствует, и у вас есть глобальная привилегия предоставления прав (GRANT OPTION), любой указанный пароль становится новым паролем для учетной записи, даже если учетная запись уже существует и у нее есть пароль. Без IDENTIFIED пароль учетной записи остается неизменным.

Глобальные привилегии — это административные привилегии или привилегии, применимые ко всем базам данных на данном сервере. Для назначения глобальных привилегий используйте синтаксис ON *.*:

GRANT ALL ON *.* TO 'someuser'@'somehost';
GRANT SELECT, INSERT ON *.* TO 'someuser'@'somehost';

Привилегии CREATE TABLESPACE, CREATE USER, FILE, PROCESS, RELOAD, REPLICATION CLIENT, REPLICATION SLAVE, SHOW DATABASES, SHUTDOWN и SUPER являются административными и могут быть предоставлены только на глобальном уровне.

Другие привилегии могут быть предоставлены глобально или на более конкретных уровнях.

GRANT OPTION, предоставленная на глобальном уровне для любой глобальной привилегии, относится ко всем глобальным привилегиям.

MySQL хранит глобальные привилегии в таблице системы mysql.user.

Привилегии базы данных применяются ко всем объектам в данной базе данных. Для назначения привилегий на уровне базы данных используйте синтаксис ON db_name.*:

GRANT ALL ON mydb.* TO 'someuser'@'somehost';
GRANT SELECT, INSERT ON mydb.* TO 'someuser'@'somehost';

Если вы используете синтаксис ON * (вместо ON *.*), привилегии назначаются на уровне базы данных для базы данных по умолчанию. Возникает ошибка, если базы данных по умолчанию нет.

Привилегии CREATE, DROP, EVENT, GRANT OPTION, LOCK TABLES и REFERENCES могут быть указаны на уровне базы данных. Привилегии на таблицы или процедуры также могут быть указаны на уровне базы данных, в этом случае они применяются ко всем таблицам или процедурам в базе данных.

MySQL хранит привилегии базы данных в системной таблице mysql.db.

Привилегии таблиц применяются ко всем столбцам в данной таблице. Для назначения привилегий на уровне таблицы используйте синтаксис ON db_name.tbl_name:

GRANT ALL ON mydb.mytbl TO 'someuser'@'somehost';
GRANT SELECT, INSERT ON mydb.mytbl TO 'someuser'@'somehost';

Если вы укажете tbl_name вместо db_name.tbl_name, оператор применится к tbl_name в базе данных по умолчанию. Возникает ошибка, если базы данных по умолчанию нет.

Допустимые значения priv_type на уровне таблицы — ALTER, CREATE VIEW, CREATE, DELETE, DROP, GRANT OPTION, INDEX, INSERT, REFERENCES, SELECT, SHOW VIEW, TRIGGER и UPDATE.

Привилегии на уровне таблицы применяются к базовым таблицам и представлениям. Они не применяются к таблицам, созданным с помощью CREATE TEMPORARY TABLE, даже если имена таблиц совпадают. Сведения о привилегиях для таблиц TEMPORARY см. в разделе 13.1.18.2 «CREATE TEMPORARY TABLE Statement».

MySQL хранит привилегии таблиц в системной таблице mysql.tables_priv.

Привилегии столбцов применяются к отдельным столбцам в данной таблице. Каждая привилегия, предоставляемая на уровне столбца, должна следовать за столбцом или столбцами, заключёнными в скобки.

GRANT SELECT (col1), INSERT (col1, col2) ON mydb.mytbl TO 'someuser'@'somehost';

Допустимые значения priv_type для столбца (то есть при использовании клаузы column_list) — INSERT, REFERENCES, SELECT и UPDATE.

MySQL хранит привилегии столбцов в системной таблице mysql.columns_priv.

Привилегии ALTER ROUTINE, CREATE ROUTINE, EXECUTE и GRANT OPTION применяются к хранимым процедурам (процедурам и функциям). Они могут быть предоставлены на глобальном и уровне базы данных. За исключением CREATE ROUTINE, эти привилегии могут быть предоставлены на уровне хранимой процедуры для отдельных процедур.

GRANT CREATE ROUTINE ON mydb.* TO 'someuser'@'somehost';
GRANT EXECUTE ON PROCEDURE mydb.myproc TO 'someuser'@'somehost';

Допустимые значения priv_type на уровне хранимой процедуры — ALTER ROUTINE, EXECUTE и GRANT OPTION. CREATE ROUTINE не является привилегией на уровне хранимой процедуры, поскольку для создания процедуры в первую очередь необходимо обладать привилегией на глобальном или уровне базы данных.

MySQL хранит привилегии на уровне хранимых процедур в системной таблице mysql.procs_priv.

Привилегия PROXY позволяет одному пользователю быть прокси для другого. Пользователь-прокси имитирует или принимает личность пользователя-прокси; то есть, он принимает привилегии пользователя-прокси.

GRANT PROXY ON 'localuser'@'localhost' TO 'externaluser'@'somehost';

При предоставлении привилегии PROXY она должна быть единственной привилегией, указанной в операторе GRANT, клауза REQUIRE не может быть задана, и единственный разрешенный параметр WITH — WITH GRANT OPTION.

Для использования прокси требуется, чтобы пользователь-прокси аутентифицировался через плагин, возвращающий имя пользователя-прокси на сервер при подключении пользователя-прокси, и чтобы пользователь-прокси обладал привилегией PROXY для пользователя-прокси. Подробности и примеры см. в разделе 6.2.14 «Пользователи-прокси».

MySQL хранит привилегии прокси в системной таблице mysql.proxies_priv.

Если учётная запись, указанная в операторе GRANT, не существует, действие зависит от режима SQL NO_AUTO_CREATE_USER:

Если учётная запись уже существует, IDENTIFIED WITH запрещено, так как она предназначена только для создания новых учётных записей.

MySQL может проверять атрибуты сертификатов X.509 помимо обычной аутентификации, основанной на имени пользователя и учетных данных. Дополнительную информацию об использовании SSL с MySQL см. в разделе 6.3, «Использование защищённых соединений».

Необязательная фраза REQUIRE определяет параметры SSL для учётной записи MySQL. Синтаксис аналогичен синтаксису для инструкции CREATE USER. Подробности см. в разделе 13.7.1.2, «Выполнение инструкции CREATE USER».

Необязательная фраза WITH используется для следующих целей:

Фраза WITH GRANT OPTION предоставляет пользователю возможность предоставлять другим пользователям любые привилегии, которые у него есть на заданном уровне привилегий.

Чтобы предоставить учётной записи привилегию GRANT OPTION без изменения других привилегий, выполните следующее:

GRANT USAGE ON *.* TO 'someuser'@'somehost' WITH GRANT OPTION;

Следует быть осторожными при предоставлении привилегии GRANT OPTION, поскольку два пользователя с разными привилегиями могут объединить привилегии!

Вы не можете предоставить другому пользователю привилегию, которой не обладаете; привилегия GRANT OPTION позволяет назначать только те привилегии, которыми вы сами обладаете.

Помните, что при предоставлении пользователю привилегии GRANT OPTION на определённом уровне привилегий, любые привилегии, которыми обладает пользователь (или которые могут быть предоставлены в будущем) на этом уровне, также могут быть предоставлены этим пользователем другим пользователям. Предположим, что вы предоставляете пользователю привилегию INSERT для базы данных. Если затем вы предоставите привилегию SELECT для базы данных и укажите WITH GRANT OPTION, этот пользователь может предоставить другим пользователям не только привилегию SELECT, но и привилегию INSERT. Если затем вы предоставите пользователю привилегию UPDATE для базы данных, пользователь сможет предоставить привилегии INSERT, SELECT и UPDATE.

Для пользователя, не обладающего административными правами, не следует предоставлять привилегию ALTER глобально или для базы данных системы mysql. В противном случае пользователь может попытаться обойти систему привилегий путём переименования таблиц!

Дополнительную информацию о рисках безопасности, связанных с определёнными привилегиями, см. в разделе 6.2.2, «Предоставляемые MySQL привилегии».

Возможно ограничить использование ресурсов сервера для учётной записи, как описано в разделе 6.2.16, «Установка лимитов ресурсов учётной записи». Для этого используйте фразу WITH, которая определяет одно или несколько значений resource_option. Неуказанные ограничения сохраняют свои текущие значения. Синтаксис аналогичен синтаксису для инструкции CREATE USER. Подробности см. в разделе 13.7.1.2, «Выполнение инструкции CREATE USER».

Основные различия между версиями инструкции GRANT в MySQL и стандартном SQL: