Если у вас есть привилегия SUPER, вы можете указать любую учетную запись в качестве атрибута DEFINER. Если учетная запись не существует, генерируется предупреждение.

В противном случае, единственная разрешенная учетная запись — ваша собственная, указанная либо явно, либо как CURRENT_USER или CURRENT_USER(). Вы не можете установить создателя на какую-либо другую учетную запись.

Хранимый объект, выполняющийся в контексте безопасности создателя, выполняется с привилегиями учетной записи, указанной в его атрибуте DEFINER. Эти привилегии могут быть совершенно другими, чем у вызывающего пользователя. Вызывающий пользователь должен иметь соответствующие привилегии для ссылки на объект (например, EXECUTE для вызова хранимой процедуры или SELECT для выборки из представления), но во время выполнения объекта привилегии вызывающего пользователя игнорируются, и учитываются только привилегии учетной записи DEFINER. Если у учетной записи DEFINER мало привилегий, объект соответственно ограничен в операциях, которые он может выполнять. Если учетная запись DEFINER обладает высокими привилегиями (например, административная учетная запись), объект может выполнять мощные операции независимо от того, кто его вызывает.

Хранимая процедура или представление, выполняющаяся в контексте безопасности вызывающего пользователя, может выполнять только операции, на которые вызывающий пользователь имеет привилегии. Атрибут DEFINER не влияет на выполнение объекта.

Сироту хранимого объекта можно создать, указав несуществующую учетную запись DEFINER во время создания объекта.

Существующий хранимый объект может стать сиротой в результате выполнения оператора DROP USER, который удаляет учетную запись DEFINER объекта, или оператора RENAME USER, который переименовывает учетную запись DEFINER объекта.

Поскольку учетная запись DEFINER не существует, объект может работать некорректно, если он выполняется в контексте безопасности владельца:

Объект может представлять угрозу безопасности, если несуществующая учетная запись DEFINER впоследствии будет создана для целей, не связанных с объектом. В этом случае учетная запись «присваивает» себе объект и, имея соответствующие привилегии, может выполнить его, даже если это не предполагалось.

Чтобы определить, какие значения DEFINER существуют в каждой таблице, используйте эти запросы:

SELECT DISTINCT DEFINER FROM INFORMATION_SCHEMA.EVENTS;
SELECT DISTINCT DEFINER FROM INFORMATION_SCHEMA.ROUTINES;
SELECT DISTINCT DEFINER FROM INFORMATION_SCHEMA.TRIGGERS;
SELECT DISTINCT DEFINER FROM INFORMATION_SCHEMA.VIEWS;

Результаты запросов имеют значение для любой учетной записи, отображаемой следующим образом:

Чтобы переопределить объект с другим владельцем, можно использовать ALTER EVENT или ALTER VIEW для непосредственного изменения учетной записи DEFINER событий и представлений. Для хранимых процедур и функций, а также триггеров необходимо удалить объект и пересоздать его с другой учетной записью DEFINER

Чтобы определить, какие объекты имеют заданную учетную запись DEFINER, используйте эти запросы, заменив интересующую учетную запись на user_name@host_name:

SELECT EVENT_SCHEMA, EVENT_NAME FROM INFORMATION_SCHEMA.EVENTS
WHERE DEFINER = 'user_name@host_name';
SELECT ROUTINE_SCHEMA, ROUTINE_NAME, ROUTINE_TYPE
FROM INFORMATION_SCHEMA.ROUTINES
WHERE DEFINER = 'user_name@host_name';
SELECT TRIGGER_SCHEMA, TRIGGER_NAME FROM INFORMATION_SCHEMA.TRIGGERS
WHERE DEFINER = 'user_name@host_name';
SELECT TABLE_SCHEMA, TABLE_NAME FROM INFORMATION_SCHEMA.VIEWS
WHERE DEFINER = 'user_name@host_name';

Для таблицы ROUTINES запрос включает столбец ROUTINE_TYPE, чтобы строки вывода различали, относится ли DEFINER к хранимой процедуре или хранимой функции.

Если учетная запись, которую вы ищете, не существует, все объекты, отображаемые этими запросами, являются сиротскими.

Не создавайте сиротские хранимые объекты; то есть объекты, атрибут DEFINER которых указывает на несуществующую учетную запись. Не позволяйте хранимым объектам становиться сиротами, удаляя или переименовывая учетную запись, указанную в атрибуте DEFINER любого существующего объекта.

Для хранимой процедуры или представления используйте SQL SECURITY INVOKER в определении объекта, когда это возможно, чтобы ограничить его доступ только пользователями с разрешениями, соответствующими операциям, выполняемым объектом.

Если вы создаете хранимые объекты в контексте владельца, используя учетную запись, имеющую привилегию SUPER, укажите явный атрибут DEFINER, который назначает учетную запись, обладающую только необходимыми привилегиями для выполняемых объектом операций. Указывайте учетную запись DEFINER с высокими привилегиями только в крайних случаях.

Администраторы могут предотвратить создание пользователями хранимых объектов, которые указывают учетные записи DEFINER с высокими привилегиями, не предоставляя им привилегию SUPER.

Объекты в контексте владельца следует писать, учитывая, что они могут иметь доступ к данным, для которых у вызывающего пользователя нет привилегий. В некоторых случаях вы можете предотвратить обращение к этим объектам, не предоставляя неавторизованным пользователям определенные привилегии:

Однако такого контроля нет для триггеров и событий, потому что они всегда выполняются в контексте владельца. Сервер вызывает эти объекты автоматически по мере необходимости, и пользователи не обращаются к ним напрямую:

В обоих случаях, если учетная запись DEFINER имеет высокие привилегии, объект может выполнить чувствительные или опасные операции. Это остается верным, даже если привилегии, необходимые для создания объекта, отозваны у учетной записи пользователя, который его создал. Администраторы должны проявлять особую осторожность при предоставлении пользователям привилегий на создание объектов.