mysqlに行レベルのセキュリティを実装する方法は？

MySQLは、ネイティブの行レベルセキュリティ（RLS）をサポートしていませんが、ビュー、保存された機能、およびアクセス制御を使用してシミュレートできます。 2。[セッションベースのユーザーIDを返すために保存された関数を作成します。直接セッション変数はビューで使用できないためです。 3.保存された関数を使用してデータをフィルタリングするビューを作成して、ユーザーが自分の行のみを確認するようにします。 4.ベーステーブルへの直接アクセスを取り消し、フィルタリングされたビューへのみアクセスを付与します。 5.アプリケーションから、またはカスタムセットアップ関数を使用してinit_connectを介して、接続時にセッション変数（@current_user_idなど）を設定します。 6.クエリに常にユーザーID条件を含めることにより、アプリケーションレベルのフィルタリングをフォールバックとして使用します。 7. MySQLユーザーアカウントと役割を活用して、データベースIDをアプリケーションユーザーと整列させます。 8.即時のセッションのセットアップ、ベーステーブルへのアクセスの防止、データベースとアプリケーションコントロールの組み合わせなどのベストプラクティスに従ってください。要約すると、MySQLには組み込みのRLSがありませんが、ビュー、セッションコンテキスト、および厳格な特権管理の規律ある使用を通じて効果的な行レベルの分離を実現できます。

MySQLには、他のいくつかのデータベース（PostgreSQLまたはSQL Serverなど）のような組み込みの行レベルセキュリティ（RLS）機能はありません。ただし、ビュー、保存された機能、適切なアクセス制御の組み合わせを使用して、行レベルのセキュリティをシミュレートできます。効果的に実装する方法は次のとおりです。

1.行レベルのセキュリティの概念を理解します

行レベルのセキュリティは、クエリを実行している人に基づいてテーブル内の特定の行へのアクセスを制限します。たとえば、ユーザーは自分のデータのみを表示する必要があります。 MySQLでは、 CREATE POLICYまたはネイティブRLS構文の作成がないため、アプリケーションまたはデータベースオブジェクトレベルでフィルタリングを実施する必要があります。

2。セッションコンテキストでビューを使用します

MySQLでRLSをシミュレートする最も一般的で実用的な方法は、現在のユーザーまたはセッションのコンテキストに基づいて行をフィルタリングするビューを使用することです。

例：ユーザー固有のデータアクセス

ordersテーブルがあるとします。

テーブル注文を作成します（
    id intプライマリキー、
    user_id int、
    製品varchar（100）、
    量子桁（10,2）
）;

各ユーザーに自分の注文のみを表示してもらいたいです。

ステップ1：現在のユーザーがフィルターするビューを作成する

セッション変数または関数を介して現在のユーザーを識別すると仮定します。

ユーザーがログインしたときにセッション変数を設定します。

 @current_user_id = 123を設定します。

次に、ビューを作成します。

 [user_ordersをas]を作成します
id、user_id、product、homasを選択します
注文から
ここで、user_id = @@ session.current_user_id;

待ってください-MySQLは、ビューで直接セッション変数（ @current_user_id ）を許可しません。代わりに、保存された関数を使用します。

 Delimiter //
関数get_current_user_id（）を作成する 
int
SQLデータを読み取ります
決定論的
始める
    @current_user_idを返します。
終わり //
区切り文字;

次に、ビューを作成します：

 [user_ordersをas]を作成します
id、user_id、product、homasを選択します
注文から
ここで、user_id = get_current_user_id（）;

@current_user_idが設定されている場合（接続時に）、ビューは関連する行のみを返します。

ステップ2：ビューにのみアクセスを付与します

ベーステーブルへの直接アクセスを取り消す：

 'app_user'@'％'からdatabase.ordersをreboke select;
database.user_ordersで 'app_user'@'％'に選択を付与します。

これにより、ユーザーは行のフィルタリングを実施するビューを実行できます。

3.接続でセッション変数を設定します

ユーザーが接続するときに@current_user_idが設定されていることを確認する必要があります。あなたはこれを行うことができます：

• アプリケーションでは、接続の直後：

   @current_user_id =？; - ログインしたユーザーIDを使用します

• または、mysqlのinit_connectシステム変数を使用して、connectでコマンドを実行します（慎重に - スーパー特権を持つユーザー向けに実行されません）：

   Global init_connect = 'seclet set_user_context（）'; - カスタム関数

  しかし、これには、より多くのセットアップと慎重な特権管理が必要です。

4。アプリケーションレベルのフィルタリング（代替）を使用します

純粋にデータベースが強化されていませんが、最も簡単な方法は、アプリケーションクエリに常にユーザーベースのフィルタリングを追加することです。

 select * from orders where where user_id =？;

ログインしたユーザーのIDで準備されたステートメントを使用します。これは一般的で効果的ですが、開発者に依存しているのはフィルターを決して忘れません。

5. MySQLの役割と特権と組み合わせる

MySQLアカウントまたは役割を使用して、ユーザーを区別します。

 「pass」によって識別されたユーザー 'user1'@'％'を作成します。
'user1'@'％'にmydb.user_ordersで選択をgrant Select;

各ユーザーは独自の資格情報と接続し、アプリはそれに応じて@current_user_id設定します。

主要な制限

• MySQLにはネイティブRLSがありません。手動で構築しています。
• セッション変数を備えたビューでは、セットアップで規律が必要です。
• ユーザーがビューをバイパスした場合、自動施行はありません。
• ビューで使用される保存された関数は、決定論的であり、データを変更する必要はありません。

ベストプラクティス

• 機密テーブルには、常にビュー（直接テーブルアクセスではありません）を使用してください。
• 接続の直後にセッションコンテキストを設定します。
• アクセスパスを監査して、誰もベーステーブルを照会できないようにします。
• 詳細に防御のためにアプリケーションレベルのチェックと組み合わせます。

要するに、 MySQLは行レベルのセキュリティをネイティブにサポートしていませんが、ビューセッション変数が保存されているStrict Access Controlを使用してシミュレートできます。重要なのは、直接テーブルアクセスを削除し、すべてのクエリをフィルタリングされたビューを介してルーティングすることです。

基本的に、それは自動ではありませんが、慎重な設計では、強力な列レベルの分離を達成できます。

以上がmysqlに行レベルのセキュリティを実装する方法は？の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。