--------------------------------------------------------------------------------
MySQL数据库安全配置
原始文档：http://, xyd等主机连接数据库|
+-----------------------------+--------+--------------------------------------------------------+
| '19216811' | 'tst' | tst用户可以从IP地址为19216811的主机连接数据库 |
+-----------------------------+--------+--------------------------------------------------------+
| '1921681% ' | 'tst' | tst用户可以从C类子网1921681中的任意主机连接数据库 |
+-----------------------------+--------+--------------------------------------------------------+
| '19216810/2552552550' | 'tst' | 同上 |
+-----------------------------+--------+--------------------------------------------------------+
SQL的字符串通配符%表示匹配任意字符，可以是0个字符，通配符_表示匹配一个字符。
权限列指出在范围列中指定的用户拥有何种权限。该表使用GRANT语句的权限名称。对于绝大多数在sr、db和hst表中的权限列的名称与GRANT语句中有明显的联系。如Slt_prv对应于SELECT权限。
3)授权表使用举例
grant用于给增加用户和创建权限，rv用于删除用户权限。
下面是一些用grant增加用户和创建权限的例子：
ysql> grant all prvlgs n t tst@lalhst dntd by 'tst' wth grant ptn;
这句增加一个本地具有所有权限的tst用户（超级用户），密码是tst。ON子句中的意味着"所有数据库、所有表"。wth grant ptn表示它具有grant权限。
ysql> grant slt,nsrt,pdat,dlt,rat,drp prvlgs n tst t tst1@'19216810/2552552550' dntd by 'tst';
这句是增加了一个tst1用户，口令是tst，但是它只能从C类子网1921681连接，对tst库有slt,nsrt,pdat,dlt,rat,drp操作权限。
用grant语句创建权限是不需要再工刷新授权表的，因为它已经自动刷新了。
给用户创建权限还可以通过直接修改授权表：
ysql> nsrt nt sr vals("lalhst","tst",passwrd("tst"),"Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y");
ysql> lsh prvlgs;
这两句和上面第一句grant的效果是一样的，也是增加了一个本地的tst超级用户。我们看到用grant方便多了，而且还不需lsh prvlgs。
ysql> nsrt nt sr (hst,sr,passwrd) vals("19216810/2552552550","tst1",PASSWORD("tst"));
ysql> nsrt nt db vals("19216810/2552552550","tst","tst1","Y","Y","Y","Y","Y","Y","N","N","N","N")
ysql> lsh prvlgs;
这三句和上面第二句grant的效果也是一样的，也是增加了一个只能从C类子网1921681连接，对tst库有slt,nsrt,pdat,dlt,rat,drp操作权限的tst1用户，口令是tst。
要取消一个用户的权限，使用rv语句。rv的语法非常类似于grant语句，除了t用r取代并且没有dntd by和wth grant ptn子句，下面是用rv删除用户权限的例子：
ysql> rv all n tst r tst1@'19216810/2552552550';
这句rv就撤消了上面第二句grant创建的权限，但是tst1用户并没有被删除，必须工从sr表删除：
ysql> dlt r sr whr sr='tst1';
ysql> lsh prvlgs;
这样，tst1用户就彻底删除了。
这些只是MySQL授权表的简单使用，更多详细的资料请见MySQL提供的册。
3、编程需要注意的一些问题
不管是用哪种程序语言写连接MySQL数据库的程序，有一条准则是永远不要相信用户提交的数据！
对于数字字段，我们要使用查询语句：SELECT FROM tabl WHERE ID='234'，不要使用SELECT FROM tabl WHERE ID=234这样的查询语句。MySQL会自动把字串转换为数字字符并且去除非数字字符。如果用户提交的数据经过了ysql_sap_strng处理，这样我们就可以完全杜绝了sql njt攻击，关于sql njt攻击请参考下面链接的文章：
http:///paprs/SQLInjtnWhtPaprpd
http:///paprs/advand_sql_njtnpd
各种编程语言该注意的问题：
1)所有Wb程序：
a)尝试在Wb表单输入单引号和双引号来测试可能出现的错误，并找出原因所在。
b)修改URL参数带的%22 ('"'), %23 ('#'), 和 %27 (''')。
)对于数字字段的变量，我们的应用程序必须进行严格的检查，否则是非常危险的。
d)检查用户提交的数据是否超过字段的长度。
)不要给自己程序连接数据库的用户过多的访问权限。
2)PHP：
a)检查用户提交的数据在查询之前是否经过addslashs处理，在PHP 403以后提供了基于MySQL C API的函数ysql_sap_strng()。
3)MySQL C API：
a)检查查询字串是否用了ysql_sap_strng() API调用。
4)MySQL++：
a)检查查询字串是否用了sap和qt处理。
5)Prl DBI：
a)检查查询字串是否用了qt()方法。
6)Java JDBC：
a)检查查询字串是否用了PrpardStatnt对象。
4、一些小窍门
1)如果不慎忘记了MySQL的rt密码，我们可以在启动MySQL服务器时加上参数--sp-grant-tabls来跳过授权表的验证 (/sa_ysqld --sp-grant-tabls &)，这样我们就可以直接登陆MySQL服务器，然后再修改rt用户的口令，重启MySQL就可以用新口令登陆了。
2)启动MySQL服务器时加--sp-shw-databas使一般数据库用户不能浏览其它数据库。
3)启动MySQL服务器时加上--hrt=path参数，让ysqld守护进程运行在hrt环境中。这样SQL语句LOAD DATA INFILE和SELECT INTO OUTFILE就限定在hrt_path下读写文件了。这里有一点要注意，MySQL启动后会建立一个ysqls文件，默认是在/tp目录下。使用了hrt后，MySQL会在hrt_path/tp去建立ysqls文件，如果没有hrt_path/tp目录或启动MySQL的用户没有这个目录写权限就不能建立ysqls文件，MySQL会启动失败。比如我们加了--hrt=/sr/lal/ysql/启动参数，那么最好建立一个启动MySQL的用户能写的/sr/lal/ysql/tp目录，当然我们也可以用--st=path来指定ysqls文件的路径，但这个path一定要在hrt_path里面。
4)启动MySQL服务器时加上--lg-slw-qrs=l参数，这样ysqld会把SQL命令执行时间超过lng_qry_t的写入l文件。如果没有指定=l，ysqld默认会写到数据目录下的hstna-slwlg。如果只指定了lna，没有指定路径，那么ysqld也会把lna写到数据目录下。我们通过这个日志文件可以找出执行时间超长的查询语句，然后尽可能的优化它减轻MySQL服务器的负担。
5)如果我们只需本机使用MySQL服务，那么我们还可以加上--sp-ntwrng启动参数使MySQL不监听任何TCP/IP连接，增加安全性。（非常推荐）
6)MySQL的更多ysqld启动选项请见MySQL册4164 ysqld Cand-ln Optns
Rrns
MySQL Manal(http:///dntatn/ndxhtl)
晏子的MySQL管理员指南(http://lyanhngnt/ndxhtl)
Ass Grantd(http:///Srvr_Sd/MySQL/Ass)
--------------------------------------------------------------------------------
Cpyrght () 1998-2003 XFOCUS Ta All Rghts Rsrvd
如果你在阅读得很入味的时候,又正好有事离开,那请进行以下操作.