使用存储过程将用户添加到数据库

Question

我正在尝试创建一个可以授予用户访问数据库的存储过程。这个想法是该过程将接受一个参数（给定的用户名），然后让用户访问数据库。因此，执行此操作的正常 Mariadb 查询是：

GRANT ALL ON databaseNameHere.* TO 'userNameHere'@'%';

问题是，'userNameHere' 需要用引号括起来才能执行此查询，因此我需要将引号连接到给定的用户名参数。 我想用 DECLARE 来做到这一点：

DELIMITER $$
CREATE PROCEDURE GrantUserAccess(IN as_username CHAR(25)) 
BEGIN
  SET @sql = CONCAT("GRANT ALL ON archimodels.* TO '" as_username "'@'%'")
  PREPARE stmt FROM @sql;
  EXECUTE stmt;
  DEALLOCATE PREPARE stmt;
END$$

DELIMITER ;

我一直遇到错误声明：

您的 SQL 语法有错误；检查手册 对应于您的 MariaDB 服务器版本，以便使用正确的语法 在'"'@'%'") 附近准备 stmt FROM @sql;执行语句；解除分配 准备 stmt; EN' 在第 3 行

这是我想要做的一个例子，唯一的问题是我需要将引号连接到用户名 https://www.oreilly.com/library/view/mysql-stored-procedure/0596100892/re39.html

Answer 1

有几处有问题。

1) “智能引号”用大引号和双引号字符代替 ASCII 引号和双引号字符

2) 要在 SQL 语句的文本中包含过程参数或变量的内容，我们需要使用动态 SQL PREPARE/EXECUTE/DEALLOCATE

我们还需要保证传入的参数是有效的；如果用户不存在，GRANT 语句将创建没有密码的用户。如果参数碰巧包含一个单引号字符，如果我们不对其进行转义，就会破坏我们的 SQL。我们还可以考虑使用 TRIM() 函数从参数中删除任何前导或尾随空格。

类似这样的：

DELIMITER $$

CREATE PROCEDURE GrantUserAccess(IN as_username CHAR(25)) 
BEGIN
  SET @sql = CONCAT('GRANT ALL ON databaseNameHere.* TO '''
               ,REPLACE(as_username,'''','''''')
               ,'''@''%''' );
  PREPARE stmt FROM @sql;
  EXECUTE stmt;
  DEALLOCATE PREPARE stmt;
  SET @sql = '';
END$$

DELIMITER ;