如何在MySQL中實現行級安全性？

MySQL不支持本機行級安全性（RLS），但可以使用視圖，存儲的功能和訪問控制來模擬它。 2。創建一個存儲的函數以返回基於會話的用戶ID，因為直接會話變量無法在視圖中使用。 3.構建一個視圖，該視圖使用存儲的函數過濾數據，以確保用戶只看到自己的行。 4。撤銷直接訪問基礎表，僅授予對過濾視圖的訪問。 5。連接時設置會話變量（例如，@current_user_id），無論是從應用程序還是通過自定義設置功能來設置init_connect。 6.將應用程序級過濾用作退縮，始終在查詢中包括用戶ID條件。 7。利用MySQL用戶帳戶和角色將數據庫身份與應用程序用戶相提並論。 8。遵循最佳實踐，例如即時會話設置，防止基礎表訪問以及將數據庫和應用程序控件組合在一起以深入防禦。總而言之，儘管MySQL缺乏內置的RLS，但可以通過紀律處分的視圖，會話上下文和嚴格的特權管理來實現有效的行級隔離，從而確保執行過濾後的訪問並且無法繞過。

MySQL沒有像其他數據庫（例如，PostgreSQL或SQL Server）那樣內置的行級安全性（RLS）功能。但是，您可以使用視圖，存儲的功能和正確的訪問控制模擬行級安全性。這是有效實施的方法。

1。了解行級安全的概念

行級安全性限制了基於誰運行查詢的表中對特定行的訪問 - 例如，用戶只能查看自己的數據。在MySQL中，由於沒有CREATE POLICY或本機RLS語法，因此您需要在應用程序或數據庫對象級別執行過濾。

2。在會話上下文中使用視圖

模擬MySQL中RLS的最常見和實用方法是使用基於當前用戶或會話上下文過濾行的視圖。

示例：特定於用戶的數據訪問

假設您有一個orders表：

創建表訂單（
    id int主鍵，
    user_id int，
    產品Varchar（100），
    數量十進制（10,2）
）；

您希望每個用戶只看到自己的訂單。

步驟1：創建一個通過當前用戶過濾的視圖

假設您通過會話變量或函數標識當前用戶。

當用戶登錄時，設置會話變量：

設置@current_user_id = 123;

然後創建一個視圖：

創建查看用戶_orders
選擇ID，USER_ID，產品，金額
從訂單
user_id = @@ session.current_user_id;

等待 - MySQL直接在視圖中直接允許會話變量（ @current_user_id ）。因此，請使用存儲的函數：

定界符//
創建函數get_current_user_id（） 
返回int
讀取SQL數據
確定性
開始
    返回@current_user_id;
結尾 //
定界符；

現在創建視圖：

創建查看用戶_orders
選擇ID，USER_ID，產品，金額
從訂單
where user_id = get_current_user_id（）;

當設置@current_user_id （例如，在連接時）時，視圖僅返回相關行。

步驟2：僅授予訪問視圖

撤銷直接訪問基礎表：

從'app_user'@''％'database.orders上刪除select。
在database.user_orders上授予'app_user'@''％';

這迫使用戶可以通過視圖，從而實施行過濾。

3。設置連接的會話變量

您必須確保在用戶連接時設置@current_user_id 。您可以做到這一點：

• 在應用程序中，在連接後立即：

  設置@current_user_id =？ ;; - 使用已登錄的用戶ID

• 或使用mySQL的init_connect系統變量在連接上運行命令（要謹慎 - 它不會為具有超級特權的用戶運行）：

  設置global init_connect ='select set_user_context（）'; - 自定義功能

  但這需要更多的設置和仔細的特權管理。

4。使用應用程序級過濾（替代）

雖然不是純粹的數據庫強化，但最簡單的方法是始終在應用程序查詢中添加基於用戶的過濾：

從user_id =？ ;;從訂單中選擇 * *;

使用已登錄的用戶ID的準備好語句。這是常見和有效的，但依賴開發人員永遠不會忘記過濾器。

5。與MySQL角色和特權結合

使用MySQL帳戶或角色來區分用戶：

創建用戶'user1'@'％'由“ Pass”標識的；
在mydb.user_orders上選擇“ user1”@'％';

每個用戶都可以使用自己的憑據連接，並且您的應用程序將相應地設置@current_user_id 。

關鍵限制

• MySQL缺少本地RLS - 您正在手動構建它。
• 會話變量的視圖需要設置中的紀律。
• 如果用戶繞過視圖，則無自動執行。
• 視圖中使用的存儲功能必須是確定性的，並且不能修改數據。

最佳實踐

• 始終使用敏感表的視圖（不是直接訪問）。
• 連接後立即設置會話上下文。
• 審核訪問路徑以確保沒有人可以查詢基本表。
• 結合應用程序級檢查的深度檢查。

簡而言之： MySQL本身不支持行級安全性，但是您可以使用“視圖”會話變量存儲的函數對其進行仿真，嚴格訪問控制。關鍵是要刪除直接訪問權限並通過過濾視圖路由所有查詢。

基本上，它不是自動的，但是通過仔細的設計，您可以實現強大的行層隔離。

以上是如何在MySQL中實現行級安全性？的詳細內容。更多資訊請關注PHP中文網其他相關文章！