Оператор GRANT позволяет системным администраторам предоставлять привилегии и роли, которые могут быть назначены учетным записям и ролям. Применяются следующие ограничения синтаксиса:

Дополнительную информацию о ролях см. в Разделе 8.2.10, «Использование ролей».

Для предоставления привилегии с помощью GRANT, необходимо иметь привилегию GRANT OPTION, а также привилегии, которые вы предоставляете. (В качестве альтернативы, если у вас есть привилегия UPDATE для таблиц предоставления в схеме системы mysql, вы можете предоставить любой учетной записи любые привилегии.) Если переменная системы read_only включена, оператор GRANT дополнительно требует привилегию CONNECTION_ADMIN (или устаревшую привилегию SUPER).

Оператор GRANT либо выполняется для всех указанных пользователей и ролей, либо откатывается и не имеет эффекта, если возникает какая-либо ошибка. Оператор записывается в двоичный журнал только в случае успешного выполнения для всех указанных пользователей и ролей.

Оператор REVOKE связан с оператором GRANT и позволяет администраторам удалять привилегии учетных записей. См. Раздел 15.7.1.8, «Оператор REVOKE».

Каждое имя учетной записи использует формат, описанный в Разделе 8.2.4, «Указание имен учетных записей». Каждое имя роли использует формат, описанный в Разделе 8.2.5, «Указание имен ролей». Например:

GRANT ALL ON db1.* TO 'jeffrey'@'localhost';
GRANT 'role1', 'role2' TO 'user1'@'localhost', 'user2'@'localhost';
GRANT SELECT ON world.* TO 'role3';

Часть имени учетной записи или роли, если она опущена, по умолчанию равна '%'.

Обычно администратор базы данных сначала использует CREATE USER для создания учетной записи и определения ее характеристик, не связанных с привилегиями, таких как пароль, использование защищенных соединений и ограничения доступа к ресурсам сервера, затем использует GRANT для определения ее привилегий. ALTER USER может использоваться для изменения характеристик учетных записей, не связанных с привилегиями. Например:

CREATE USER 'jeffrey'@'localhost' IDENTIFIED BY 'password';
GRANT ALL ON db1.* TO 'jeffrey'@'localhost';
GRANT SELECT ON db2.invoice TO 'jeffrey'@'localhost';
ALTER USER 'jeffrey'@'localhost' WITH MAX_QUERIES_PER_HOUR 90;

Из программы mysql, оператор GRANT отвечает Query OK, 0 rows affected при успешном выполнении. Для определения привилегий, полученных в результате операции, используйте SHOW GRANTS. См. Раздел 15.7.7.23, «Оператор SHOW GRANTS».

Оператор GRANT поддерживает имена хостов длиной до 255 символов. Имена пользователей могут быть длиной до 32 символов. Имена баз данных, таблиц, столбцов и процедур могут быть длиной до 64 символов.

Некоторые объекты в операторах GRANT требуют цитирования, хотя во многих случаях это необязательно: имена учетных записей, ролей, баз данных, таблиц, столбцов и процедур. Например, если значение user_name или host_name в имени учетной записи допустимо как нецитируемый идентификатор, вы можете его не цитировать. Однако цитирование необходимо для задания user_name строки, содержащей специальные символы (например, -), или host_name строки, содержащей специальные символы или символы подстановки, такие как % (например, 'test-user'@'%.com'). Имя пользователя и имя хоста следует цитировать отдельно.

Для задания цитируемых значений:

Рекомендации по цитированию строк и идентификаторов см. в разделе 11.1.1 «Строковые литералы» и разделе 11.2 «Имена объектов схемы».

Символы подстановки _ и % разрешены при указании имен баз данных в операторах GRANT, предоставляющих привилегии на уровне базы данных (GRANT ... ON db_name.*). Это означает, что для использования символа _ в имени базы данных необходимо указать его с помощью символа экранирования \ как \_ в операторе GRANT, чтобы предотвратить доступ пользователя к дополнительным базам данных, соответствующим шаблону подстановки (например, GRANT ... ON `foo\_bar`.* TO ...).

Использование нескольких операторов GRANT, содержащих символы подстановки, может не иметь ожидаемого эффекта на операторы DML; при разрешении предоставления привилегий, включающих символы подстановки, MySQL учитывает только первое соответствующее предоставление привилегий. Другими словами, если у пользователя есть два предоставления привилегий на уровне базы данных, использующие символы подстановки, соответствующие той же базе данных, то применяется предоставление, созданное первым. Рассмотрим базу данных db и таблицу t, созданные с помощью операторов, показанных здесь:

mysql> CREATE DATABASE db;
Query OK, 1 row affected (0.01 sec)

mysql> CREATE TABLE db.t (c INT);
Query OK, 0 rows affected (0.01 sec)

mysql> INSERT INTO db.t VALUES ROW(1);
Query OK, 1 row affected (0.00 sec)

Далее (предполагая, что текущая учетная запись — это учетная запись MySQL root или другая учетная запись с необходимыми привилегиями), мы создаем пользователя u и затем выполняем два оператора GRANT, содержащих символы подстановки, следующим образом:

mysql> CREATE USER u;
Query OK, 0 rows affected (0.01 sec)

mysql> GRANT SELECT ON `d_`.* TO u;
Query OK, 0 rows affected (0.01 sec)

mysql> GRANT INSERT ON `d%`.* TO u;
Query OK, 0 rows affected (0.00 sec)

mysql> EXIT

Bye

Если мы завершим сеанс и затем снова войдем с помощью клиента mysql, на этот раз как u, мы увидим, что у этой учетной записи есть только привилегии, предоставленные первым соответствующим предоставлением, но не вторым:

$> mysql -uu -hlocalhost

Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 10
Server version: 9.2.0-tr Source distribution

Copyright (c) 2000, 2023, Oracle and/or its affiliates.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or '\h' for help. Type '\c' to clear the current input
statement.

mysql> TABLE db.t;
+------+
| c    |
+------+
|    1 |
+------+
1 row in set (0.00 sec)

mysql> INSERT INTO db.t VALUES ROW(2);
ERROR 1142 (42000): INSERT command denied to user 'u'@'localhost' for table 't'

При назначении привилегий MySQL интерпретирует вхождения неэкранированных _ и % символов подстановки SQL в именах баз данных как буквальные символы в следующих ситуациях:

Значение user в операторе GRANT указывает на учетную запись MySQL, к которой применяется оператор. Для предоставления прав пользователям с произвольных хостов MySQL поддерживает указание значения user в форме 'user_name'@'host_name'.

Вы можете указывать символы подстановки в имени хоста. Например, 'user_name'@'%.example.com' относится к user_name для любого хоста в домене example.com, а 'user_name'@'198.51.100.%' относится к user_name для любого хоста в подсети класса C 198.51.100.

Простая форма 'user_name' является синонимом для 'user_name'@'%'.

MySQL не поддерживает символы подстановки в именах пользователей. Для ссылки на анонимного пользователя укажите учетную запись с пустым именем пользователя с помощью оператора GRANT:

GRANT ALL ON test.* TO ''@'localhost' ...;

В этом случае любому пользователю, подключившемуся с локального хоста с правильным паролем для анонимного пользователя, разрешен доступ с привилегиями, связанными с учетной записью анонимного пользователя.

Дополнительную информацию о значениях имени пользователя и имени хоста в именах учетных записей см. в разделе 8.2.4 «Указание имен учетных записей».

SELECT Host, User FROM mysql.user WHERE User='';

DROP USER ''@'localhost';

Глобальные привилегии являются административными или применяются ко всем базам данных на данном сервере. Для назначения глобальных привилегий используйте синтаксис ON *.*:

GRANT ALL ON *.* TO 'someuser'@'somehost';
GRANT SELECT, INSERT ON *.* TO 'someuser'@'somehost';

CREATE TABLESPACE, CREATE USER, FILE, PROCESS, RELOAD, REPLICATION CLIENT, REPLICATION SLAVE, SHOW DATABASES, SHUTDOWN и SUPER статические привилегии являются административными и могут быть предоставлены только глобально.

Динамические привилегии также являются глобальными и могут быть предоставлены только глобально.

Другие привилегии могут быть предоставлены глобально или на более конкретных уровнях.

Эффект привилегии GRANT OPTION, предоставленной на глобальном уровне, отличается для статических и динамических привилегий:

GRANT ALL на глобальном уровне предоставляет все статические глобальные привилегии и все в настоящее время зарегистрированные динамические привилегии. Динамическая привилегия, зарегистрированная после выполнения оператора GRANT, не предоставляется ретроактивно ни одной учетной записи.

MySQL хранит глобальные привилегии в таблице системы mysql.user.

Привилегии базы данных применяются ко всем объектам в данной базе данных. Для назначения привилегий на уровне базы данных используйте синтаксис ON db_name.*:

GRANT ALL ON mydb.* TO 'someuser'@'somehost';
GRANT SELECT, INSERT ON mydb.* TO 'someuser'@'somehost';

Если вы используете синтаксис ON * (вместо ON *.*), привилегии назначаются на уровне базы данных для базы данных по умолчанию. Возникает ошибка, если база данных по умолчанию отсутствует.

CREATE, DROP, EVENT, GRANT OPTION, LOCK TABLES и REFERENCES привилегии могут быть указаны на уровне базы данных. Привилегии для таблиц или процедур также могут быть указаны на уровне базы данных, в этом случае они применяются ко всем таблицам или процедурам в базе данных.

MySQL хранит привилегии базы данных в таблице системы mysql.db.

Привилегии таблиц применяются ко всем столбцам в данной таблице. Для назначения привилегий на уровне таблицы используйте синтаксис ON db_name.tbl_name:

GRANT ALL ON mydb.mytbl TO 'someuser'@'somehost';
GRANT SELECT, INSERT ON mydb.mytbl TO 'someuser'@'somehost';

Если вы укажете tbl_name вместо db_name.tbl_name, оператор применяется к tbl_name в базе данных по умолчанию. Возникает ошибка, если база данных по умолчанию отсутствует.

Допустимые значения priv_type на уровне таблицы — ALTER, CREATE VIEW, CREATE, DELETE, DROP, GRANT OPTION, INDEX, INSERT, REFERENCES, SELECT, SHOW VIEW, TRIGGER и UPDATE.

Привилегии на уровне таблицы применяются к базовым таблицам и представлениям. Они не применяются к таблицам, созданным с помощью CREATE TEMPORARY TABLE, даже если имена таблиц совпадают. Подробности о привилегиях для таблиц TEMPORARY см. в разделе 15.1.21.2, «Оператор CREATE TEMPORARY TABLE».

MySQL хранит привилегии таблиц в таблице системы mysql.tables_priv.

Привилегии столбцов применяются к отдельным столбцам в данной таблице. Каждая привилегия, предоставляемая на уровне столбца, должна быть за ней следовать столбец или столбцы, заключённые в скобки.

GRANT SELECT (col1), INSERT (col1, col2) ON mydb.mytbl TO 'someuser'@'somehost';

Допустимые значения priv_type для столбца (т. е. при использовании клаузы column_list) — INSERT, REFERENCES, SELECT и UPDATE.

MySQL хранит привилегии столбцов в таблице системы mysql.columns_priv.

Привилегии ALTER ROUTINE, CREATE ROUTINE, EXECUTE и GRANT OPTION применяются к хранимым процедурам (процедурам и функциям). Их можно предоставлять на глобальном и уровне базы данных. За исключением CREATE ROUTINE, эти привилегии могут быть предоставлены на уровне процедуры для отдельных процедур.

GRANT CREATE ROUTINE ON mydb.* TO 'someuser'@'somehost';
GRANT EXECUTE ON PROCEDURE mydb.myproc TO 'someuser'@'somehost';

Разрешенные значения priv_type на уровне процедуры — ALTER ROUTINE, EXECUTE и GRANT OPTION. CREATE ROUTINE не является привилегией на уровне процедуры, поскольку для создания процедуры в первую очередь необходимо иметь привилегию на глобальном или уровне базы данных.

MySQL сохраняет привилегии на уровне процедур в таблице системы mysql.procs_priv.

Привилегия PROXY позволяет одному пользователю выступать в роли прокси для другого. Пользователь-прокси имитирует или принимает личность пользователя-прокси; то есть, он принимает привилегии пользователя-прокси.

GRANT PROXY ON 'localuser'@'localhost' TO 'externaluser'@'somehost';

При предоставлении привилегии PROXY, она должна быть единственной привилегией, указанной в команде GRANT, и единственным разрешенным параметром WITH является WITH GRANT OPTION.

Для использования прокси требуется, чтобы пользователь-прокси аутентифицировался через плагин, возвращающий имя пользователя-прокси серверу при подключении пользователя-прокси, и что пользователь-прокси обладает привилегией PROXY для пользователя-прокси. Подробнее и примеры см. в разделе 8.2.19, «Пользователи-прокси».

MySQL сохраняет привилегии прокси в таблице системы mysql.proxies_priv.

Синтаксис GRANT без предложения ON предоставляет роли, а не отдельные привилегии. Роль — это именованный набор привилегий; см. раздел 8.2.10, «Использование ролей». Например:

GRANT 'role1', 'role2' TO 'user1'@'localhost', 'user2'@'localhost';

Каждая предоставляемая роль должна существовать, а также каждая учетная запись пользователя или роль, которой она должна быть предоставлена. Роли не могут быть предоставлены анонимным пользователям.

Предоставление роли не приводит к автоматическому её активации. Сведения об активации и деактивации ролей см. в разделе об активации ролей.

Для предоставления ролей требуются следующие привилегии:

Возможно создание циклических ссылок с помощью GRANT. Например:

CREATE USER 'u1', 'u2';
CREATE ROLE 'r1', 'r2';

GRANT 'u1' TO 'u1';   -- simple loop: u1 => u1
GRANT 'r1' TO 'r1';   -- simple loop: r1 => r1

GRANT 'r2' TO 'u2';
GRANT 'u2' TO 'r2';   -- mixed user/role loop: u2 => r2 => u2

Циклические ссылки на предоставление разрешены, но не добавляют новые привилегии или роли получателю, поскольку пользователь или роль уже обладают соответствующими привилегиями и ролями.

GRANT может указывать дополнительную информацию о контексте привилегий для выполнения запроса, используя клаузу AS user [WITH ROLE]. Этот синтаксис виден на уровне SQL, но его основная цель заключается в обеспечении единообразной репликации на всех узлах ограничений привилегий правообладателя, введенных частичными отзывами, путем отображения этих ограничений в бинарном журнале. Сведения о частичных отзывах см. в Разделе 8.2.12, «Ограничение привилегий с помощью частичных отзывов».

При указании клаузы AS user выполнение запроса учитывает любые ограничения привилегий, связанные с указанным пользователем, включая все роли, указанные в WITH ROLE, если они присутствуют. В результате фактические привилегии, предоставленные запросом, могут быть уменьшены по сравнению с указанными.

Эти условия применимы к клаузе AS user:

Следующий пример иллюстрирует эффект клаузы AS. Создайте пользователя u1, который имеет некоторые глобальные привилегии, а также ограничения на эти привилегии:

CREATE USER u1;
GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO u1;
REVOKE INSERT, UPDATE ON schema1.* FROM u1;
REVOKE SELECT ON schema2.* FROM u1;

Также создайте роль r1, которая снимает некоторые ограничения на привилегии, и предоставьте роль пользователю u1:

CREATE ROLE r1;
GRANT INSERT ON schema1.* TO r1;
GRANT SELECT ON schema2.* TO r1;
GRANT r1 TO u1;

Теперь, используя учетную запись, которая не имеет собственных ограничений привилегий, предоставьте нескольким пользователям один и тот же набор глобальных привилегий, но каждому с разными ограничениями, наложенными клаузой AS, и проверьте, какие привилегии фактически предоставляются.

Если запрос GRANT содержит клаузу AS user, ограничения привилегий пользователя, выполняющего запрос, игнорируются (а не применяются так, как они применялись бы без клаузы AS).

Необязательная клауза WITH используется для того, чтобы пользователь мог предоставлять привилегии другим пользователям. Клауза WITH GRANT OPTION предоставляет пользователю возможность предоставлять другим пользователям любые привилегии, которые у него есть на указанном уровне привилегий.

Чтобы предоставить привилегию GRANT OPTION учетной записи, не изменяя при этом её привилегии, выполните следующее:

GRANT USAGE ON *.* TO 'someuser'@'somehost' WITH GRANT OPTION;

Будьте внимательны, кому вы предоставляете привилегию GRANT OPTION, потому что два пользователя с разными привилегиями могут иметь возможность объединить привилегии!

Вы не можете предоставить другому пользователю привилегию, которой не обладаете сами; привилегия GRANT OPTION позволяет назначать только те привилегии, которыми обладаете сами.

Имейте в виду, что при предоставлении пользователю привилегии GRANT OPTION на определённом уровне привилегий, любые привилегии, которыми пользователь обладает (или которые могут быть ему предоставлены в будущем) на этом уровне, также могут быть предоставлены этим пользователем другим пользователям. Предположим, что вы предоставляете пользователю привилегию INSERT на базе данных. Если затем вы предоставляете привилегию SELECT на базе данных и указываете WITH GRANT OPTION, этот пользователь может предоставить другим пользователям не только привилегию SELECT, но и INSERT. Если затем вы предоставляете пользователю привилегию UPDATE на базе данных, пользователь может предоставить INSERT, SELECT и UPDATE.

Для неадминистративного пользователя не следует предоставлять привилегию ALTER глобально или для схемы системы mysql. Если вы это сделаете, пользователь может попытаться обойти систему привилегий, переименовав таблицы!

Дополнительную информацию о рисках безопасности, связанных с определёнными привилегиями, см. в Разделе 8.2.2, «Привилегии, предоставляемые MySQL».

Основные различия между версиями GRANT MySQL и стандартного SQL заключаются в следующем: