Заявление GRANT позволяет администраторам системы предоставлять привилегии и роли, которые могут быть назначены учетным записям и ролям пользователей. Применяются следующие ограничения синтаксиса:

Более подробная информация о ролях находится в Разделе 8.2.10, «Использование ролей».

Для предоставления привилегии с помощью GRANT, необходимо иметь привилегию GRANT OPTION, а также сами предоставляемые привилегии. (В качестве альтернативы, если у вас есть привилегия UPDATE для таблиц предоставления в схеме системы mysql, вы можете предоставить любую учетную запись любые привилегии.) При включенном системном параметре read_only, для GRANT дополнительно требуется привилегия CONNECTION_ADMIN (или устаревшая привилегия SUPER).

Заявление GRANT либо выполняется для всех указанных пользователей и ролей, либо отменяется и не оказывает никакого эффекта, если возникает ошибка. Заявление записывается в двоичный журнал только в случае успешного выполнения для всех указанных пользователей и ролей.

Заявление REVOKE связано с GRANT и позволяет администраторам удалять привилегии учетных записей. См. Раздел 15.7.1.8, «Заявление REVOKE».

Каждое имя учетной записи использует формат, описанный в Разделе 8.2.4, «Указание имен учетных записей». Каждое имя роли использует формат, описанный в Разделе 8.2.5, «Указание имен ролей». Например:

GRANT ALL ON db1.* TO 'jeffrey'@'localhost';
GRANT 'role1', 'role2' TO 'user1'@'localhost', 'user2'@'localhost';
GRANT SELECT ON world.* TO 'role3';

Часть имени хоста учетной записи или роли, если она опущена, по умолчанию равна '%'.

Обычно администратор базы данных сначала использует CREATE USER для создания учетной записи и определения ее характеристик, не связанных с привилегиями, таких как пароль, использование защищенных подключений и ограничения доступа к ресурсам сервера, а затем использует GRANT для определения ее привилегий. ALTER USER может использоваться для изменения характеристик учетных записей, не связанных с привилегиями. Например:

CREATE USER 'jeffrey'@'localhost' IDENTIFIED BY 'password';
GRANT ALL ON db1.* TO 'jeffrey'@'localhost';
GRANT SELECT ON db2.invoice TO 'jeffrey'@'localhost';
ALTER USER 'jeffrey'@'localhost' WITH MAX_QUERIES_PER_HOUR 90;

Из программы mysql, заявление GRANT отвечает Query OK, 0 rows affected при успешном выполнении. Для определения привилегий, полученных в результате операции, используйте SHOW GRANTS. См. Раздел 15.7.7.22, «Заявление SHOW GRANTS».

GRANT поддерживает имена хостов длиной до 255 символов. Имена пользователей могут содержать до 32 символов. Имена баз данных, таблиц, столбцов и процедур могут содержать до 64 символов.

Некоторые объекты в операторах GRANT требуют цитирования, хотя во многих случаях это необязательно: имена учетных записей, ролей, баз данных, таблиц, столбцов и процедур. Например, если значение user_name или host_name в имени учетной записи допустимо как нецитируемый идентификатор, вы можете его не цитировать. Однако цитирование необходимо для задания user_name строки, содержащей специальные символы (например, -), или host_name строки, содержащей специальные символы или символы подстановки, такие как % (например, 'test-user'@'%.com'). Имя пользователя и имя хоста следует цитировать отдельно.

Для задания цитируемых значений:

Рекомендации по цитированию строк и идентификаторов см. в разделе 11.1.1 «Строковые литералы» и разделе 11.2 «Имена объектов схемы».

Символы подстановки _ и % разрешены при указании имен баз данных в операторах GRANT, предоставляющих привилегии на уровне базы данных (GRANT ... ON db_name.*). Это означает, что для использования символа _ в имени базы данных необходимо указать его с помощью символа экранирования \ как \_ в операторе GRANT, чтобы предотвратить доступ пользователя к дополнительным базам данных, соответствующим шаблону подстановки (например, GRANT ... ON `foo\_bar`.* TO ...).

Использование нескольких операторов GRANT, содержащих символы подстановки, может не иметь ожидаемого эффекта на операторы DML; при разрешении предоставления привилегий, включающих символы подстановки, MySQL учитывает только первое соответствующее предоставление привилегий. Другими словами, если у пользователя есть два предоставления привилегий на уровне базы данных, использующие символы подстановки, соответствующие той же базе данных, то применяется предоставление, созданное первым. Рассмотрим базу данных db и таблицу t, созданные с помощью операторов, показанных здесь:

mysql> CREATE DATABASE db;
Query OK, 1 row affected (0.01 sec)

mysql> CREATE TABLE db.t (c INT);
Query OK, 0 rows affected (0.01 sec)

mysql> INSERT INTO db.t VALUES ROW(1);
Query OK, 1 row affected (0.00 sec)

Далее (предполагая, что текущая учетная запись — это учетная запись MySQL root или другая учетная запись с необходимыми привилегиями), мы создаем пользователя u и затем выполняем два оператора GRANT, содержащих символы подстановки, следующим образом:

mysql> CREATE USER u;
Query OK, 0 rows affected (0.01 sec)

mysql> GRANT SELECT ON `d_`.* TO u;
Query OK, 0 rows affected (0.01 sec)

mysql> GRANT INSERT ON `d%`.* TO u;
Query OK, 0 rows affected (0.00 sec)

mysql> EXIT

Bye

Если мы завершим сеанс и затем снова войдем с помощью клиента mysql, на этот раз как u, мы увидим, что у этой учетной записи есть только привилегии, предоставленные первым соответствующим предоставлением, но не вторым:

$> mysql -uu -hlocalhost

Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 10
Server version: 8.4.4-tr Source distribution

Copyright (c) 2000, 2023, Oracle and/or its affiliates.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or '\h' for help. Type '\c' to clear the current input
statement.

mysql> TABLE db.t;
+------+
| c    |
+------+
|    1 |
+------+
1 row in set (0.00 sec)

mysql> INSERT INTO db.t VALUES ROW(2);
ERROR 1142 (42000): INSERT command denied to user 'u'@'localhost' for table 't'

При назначении привилегий MySQL интерпретирует вхождения неэкранированных _ и % символов подстановки SQL в именах баз данных как буквальные символы в следующих ситуациях:

Значение user в операторе GRANT указывает на учетную запись MySQL, к которой применяется оператор. Для предоставления прав пользователям с произвольных хостов MySQL поддерживает указание значения user в форме 'user_name'@'host_name'.

Вы можете указывать символы подстановки в имени хоста. Например, 'user_name'@'%.example.com' относится к user_name для любого хоста в домене example.com, а 'user_name'@'198.51.100.%' относится к user_name для любого хоста в подсети класса C 198.51.100.

Простая форма 'user_name' является синонимом для 'user_name'@'%'.

MySQL не поддерживает символы подстановки в именах пользователей. Для ссылки на анонимного пользователя укажите учетную запись с пустым именем пользователя с помощью оператора GRANT:

GRANT ALL ON test.* TO ''@'localhost' ...;

В этом случае любому пользователю, подключившемуся с локального хоста с правильным паролем для анонимного пользователя, разрешен доступ с привилегиями, связанными с учетной записью анонимного пользователя.

Дополнительную информацию о значениях имени пользователя и имени хоста в именах учетных записей см. в разделе 8.2.4 «Указание имен учетных записей».

SELECT Host, User FROM mysql.user WHERE User='';

DROP USER ''@'localhost';

Глобальные разрешения — административные или применяются ко всем базам данных на данном сервере. Для назначения глобальных разрешений используйте синтаксис ON *.*:

GRANT ALL ON *.* TO 'someuser'@'somehost';
GRANT SELECT, INSERT ON *.* TO 'someuser'@'somehost';

Разрешения CREATE TABLESPACE, CREATE USER, FILE, PROCESS, RELOAD, REPLICATION CLIENT, REPLICATION SLAVE, SHOW DATABASES, SHUTDOWN и SUPER — административные и могут быть предоставлены только глобально.

Динамические разрешения также являются глобальными и могут быть предоставлены только глобально.

Другие разрешения могут быть предоставлены глобально или на более конкретных уровнях.

Эффект GRANT OPTION, предоставленного на глобальном уровне, отличается для статических и динамических разрешений:

GRANT ALL на глобальном уровне предоставляет все статические глобальные разрешения и все текущие зарегистрированные динамические разрешения. Динамическое разрешение, зарегистрированное после выполнения оператора GRANT, не предоставляется обратным образом для любой учетной записи.

MySQL хранит глобальные разрешения в таблице системной информации mysql.user.

Разрешения на базу данных применяются ко всем объектам в заданной базе данных. Для назначения разрешений на уровне базы данных используйте синтаксис ON db_name.*:

GRANT ALL ON mydb.* TO 'someuser'@'somehost';
GRANT SELECT, INSERT ON mydb.* TO 'someuser'@'somehost';

Если вы используете синтаксис ON * (а не ON *.*), разрешения назначаются на уровне базы данных для базы данных по умолчанию. Возникает ошибка, если базы данных по умолчанию нет.

Разрешения CREATE, DROP, EVENT, GRANT OPTION, LOCK TABLES и REFERENCES могут быть заданы на уровне базы данных. Разрешения на таблицы или процедуры также могут быть заданы на уровне базы данных, в этом случае они применяются ко всем таблицам или процедурам в базе данных.

MySQL хранит разрешения на базы данных в таблице системной информации mysql.db.

Разрешения на таблицы применяются ко всем столбцам в заданной таблице. Для назначения разрешений на уровне таблицы используйте синтаксис ON db_name.tbl_name:

GRANT ALL ON mydb.mytbl TO 'someuser'@'somehost';
GRANT SELECT, INSERT ON mydb.mytbl TO 'someuser'@'somehost';

Если вы указываете tbl_name, а не db_name.tbl_name, оператор применяется к tbl_name в базе данных по умолчанию. Возникает ошибка, если базы данных по умолчанию нет.

Допустимые значения priv_type на уровне таблицы — ALTER, CREATE VIEW, CREATE, DELETE, DROP, GRANT OPTION, INDEX, INSERT, REFERENCES, SELECT, SHOW VIEW, TRIGGER и UPDATE.

Разрешения на уровне таблицы применяются к основным таблицам и представлениям. Они не применяются к таблицам, созданным с помощью CREATE TEMPORARY TABLE, даже если имена таблиц совпадают. Подробности о разрешениях на временные таблицы см. в разделе 15.1.20.2 «Оператор CREATE TEMPORARY TABLE».

MySQL хранит разрешения на таблицы в таблице системной информации mysql.tables_priv.

Разрешения на столбцы применяются к отдельным столбцам в заданной таблице. Каждое разрешение, предоставляемое на уровне столбца, должно сопровождаться именем столбца или столбцов, заключенных в скобки.

GRANT SELECT (col1), INSERT (col1, col2) ON mydb.mytbl TO 'someuser'@'somehost';

Допустимые значения priv_type для столбца (то есть при использовании column_list) — INSERT, REFERENCES, SELECT и UPDATE.

MySQL хранит разрешения на столбцы в таблице системной информации mysql.columns_priv.

Разрешения ALTER ROUTINE, CREATE ROUTINE, EXECUTE и GRANT OPTION применяются к хранимым процедурам (процедурам и функциям). Они могут быть предоставлены на глобальном и уровне базы данных. За исключением CREATE ROUTINE, эти разрешения могут быть предоставлены на уровне процедуры для отдельных процедур.

GRANT CREATE ROUTINE ON mydb.* TO 'someuser'@'somehost';
GRANT EXECUTE ON PROCEDURE mydb.myproc TO 'someuser'@'somehost';

Допустимые значения priv_type на уровне процедуры — ALTER ROUTINE, EXECUTE и GRANT OPTION. CREATE ROUTINE не является разрешением на уровне процедуры, потому что для создания процедуры в первую очередь необходимо иметь соответствующее разрешение на глобальном или уровне базы данных.

MySQL хранит разрешения на уровне процедур в таблице системной информации mysql.procs_priv.

Привилегия PROXY позволяет одному пользователю быть прокси-пользователем для другого. Прокси-пользователь имитирует или принимает идентичность проксируемого пользователя; то есть, он принимает привилегии проксируемого пользователя.

GRANT PROXY ON 'localuser'@'localhost' TO 'externaluser'@'somehost';

При предоставлении привилегии PROXY она должна быть единственной привилегией, указанной в инструкции GRANT, и единственный допустимый вариант WITH - WITH GRANT OPTION.

Для работы с проксированием прокси-пользователь должен пройти аутентификацию через плагин, который возвращает имя проксируемого пользователя на сервер при подключении прокси-пользователя, и прокси-пользователь должен обладать привилегией PROXY для проксируемого пользователя. Подробные сведения и примеры см. в разделе 8.2.19 «Proxy Users».

MySQL хранит привилегии проксирования в таблице системы mysql.proxies_priv.

Синтаксис GRANT без пункта ON назначает роли, а не отдельные привилегии. Роль — это именованная коллекция привилегий; см. раздел 8.2.10 «Использование ролей». Например:

GRANT 'role1', 'role2' TO 'user1'@'localhost', 'user2'@'localhost';

Каждая роль, которая должна быть назначена, должна существовать, а также каждый учетная запись пользователя или роль, которой она должна быть назначена. Роли не могут быть назначены анонимным пользователям.

Назначение роли не приводит к ее автоматической активации. Сведения об активации и деактивации ролей см. в разделе Активация ролей.

Для назначения ролей требуются следующие привилегии:

При назначении ролей возможны циклические ссылки с помощью GRANT. Например:

CREATE USER 'u1', 'u2';
CREATE ROLE 'r1', 'r2';

GRANT 'u1' TO 'u1';   -- simple loop: u1 => u1
GRANT 'r1' TO 'r1';   -- simple loop: r1 => r1

GRANT 'r2' TO 'u2';
GRANT 'u2' TO 'r2';   -- mixed user/role loop: u2 => r2 => u2

Циклические ссылки на назначения разрешены, но не добавляют новых привилегий или ролей к получателю, так как у пользователя или роли уже есть свои привилегии и роли.

Инструкция GRANT может указывать дополнительную информацию о контексте привилегий для выполнения оператора с помощью пункта AS user [WITH ROLE]. Этот синтаксис виден на уровне SQL, хотя его основная цель — обеспечить единообразную репликацию на всех узлах ограничений привилегий доверенного лица, накладываемых частичными отзывами, заставляя эти ограничения появляться в двоичном журнале. Подробности о частичных отзывах см. в разделе 8.2.12 «Ограничение привилегий с помощью частичных отзывов».

Когда указан пункт AS user, при выполнении оператора учитываются любые ограничения привилегий, связанные с указанным пользователем, включая все роли, указанные с помощью WITH ROLE, если таковые имеются. В результате привилегии, фактически предоставленные оператором, могут быть ограничены по сравнению с указанными.

Применимы следующие условия к пункту AS user:

Следующий пример иллюстрирует эффект пункта AS. Создайте пользователя u1 с некоторыми глобальными привилегиями, а также ограничениями на эти привилегии:

CREATE USER u1;
GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO u1;
REVOKE INSERT, UPDATE ON schema1.* FROM u1;
REVOKE SELECT ON schema2.* FROM u1;

Также создайте роль r1, которая снимает некоторые ограничения привилегий, и назначьте эту роль пользователю u1:

CREATE ROLE r1;
GRANT INSERT ON schema1.* TO r1;
GRANT SELECT ON schema2.* TO r1;
GRANT r1 TO u1;

Теперь, используя учетную запись без ограничений привилегий, предоставьте нескольким пользователям один и тот же набор глобальных привилегий, но с различными ограничениями, накладываемыми пунктом AS, и проверьте, какие привилегии фактически предоставлены.

Если инструкция GRANT включает пункт AS user, ограничения привилегий пользователя, выполняющего оператор, игнорируются (а не применяются так, как они были бы в отсутствие пункта AS).

Необязательная WITH фраза используется, чтобы позволить пользователю предоставлять привилегии другим пользователям. WITH GRANT OPTION фраза даёт пользователю возможность предоставлять другим пользователям любые привилегии, которыми обладает сам пользователь на указанном уровне привилегий.

Чтобы предоставить привилегию GRANT OPTION учётной записи без изменения других её привилегий, сделайте следующее:

GRANT USAGE ON *.* TO 'someuser'@'somehost' WITH GRANT OPTION;

Будьте внимательны, кому вы предоставляете привилегию GRANT OPTION, так как два пользователя с разными привилегиями могут объединить их!

Вы не можете предоставить другому пользователю привилегию, которой не обладаете сами; привилегия GRANT OPTION позволяет назначить только те привилегии, которыми вы сами обладаете.

Учтите, что при предоставлении пользователю привилегии GRANT OPTION на определённом уровне привилегий, любые привилегии, которыми пользователь обладает (или может получить в будущем) на этом уровне, также могут быть предоставлены им другим пользователям. Предположим, что вы предоставили пользователю привилегию INSERT на базе данных. Если затем вы предоставите привилегию SELECT на базе данных и укажете WITH GRANT OPTION, этот пользователь может предоставить другим пользователям не только привилегию SELECT, но и INSERT. Если затем вы предоставите пользователю привилегию UPDATE на базе данных, пользователь сможет предоставить INSERT, SELECT и UPDATE.

Для обычного пользователя, не администратора, не следует предоставлять привилегию ALTER глобально или для схемы системы mysql. В противном случае пользователь может попытаться обойти систему привилегий, переименовывая таблицы!

Дополнительную информацию о рисках, связанных с определёнными привилегиями, см. в Разделе 8.2.2, “Предоставляемые MySQL привилегии”.

Основные отличия между MySQL и стандартными версиями SQL для GRANT заключаются в следующем: