假设您创建了一个博客应用程序，它的数据存储在 MySQL 数据库中。在您的应用程序配置中，您将数据源名称设置为 myBlog user root password whatever
现在，当用户开始使用您的博客访问、发帖和评论线程等时...我假设他们通过应用程序myblog 以root 连接...
所以... 用户连接到应用程序 myBlog 又以用户 root 的身份连接到 MySQL，使用密码 whatever --- 连接到 MySQL 的并不是真正的用户，而是应用程序。对吗？
这种方法没有安全问题吗？我是否应该在 MySQL 中为应用程序 myBlog 创建一个具有特定权限的新用户名，而留下 root 仅用于管理数据库？
【问题讨论】：
标签： mysql security privileges
你完全正确。这称为principle of least privilege。您应该为应用程序提供完成工作所需的最低访问权限。这不会是 root。
【讨论】：
是的，应用程序连接到数据库。您应该为您的应用程序创建一个新的 mysql 用户，执行类似的操作
CREATE DATABASE myblog_env;
CREATE USER 'myblogenv-user'@'%' IDENTIFIED BY 'your pw';
GRANT ALL PRIVILEGES ON myblog_env.* TO 'myblogenv-user'@'%' WITH GRANT OPTION;
类似上面的东西应该可以做到。上面的 'env' 部分是针对如果你想为不同的环境创建一个新的数据库，比如 dev、stage、prod 等等......
这样，您的应用程序用户可以完全访问其数据库，但在 mysql 实例中没有其他数据库。
【讨论】：
GRANT ALL 意味着由于ON 子句而赋予所有数据库级权限。
首先，你不应该将 mysql 数据库的 root 帐户用于其他任何事情，然后是管理员工作。 其次，理论上是的，您博客的用户将是您的 mysql 数据库中的“根”，但希望在执行任何查询之前，您的博客代码中有很多清理和清理......其他任何事情都是称为“sql注入”
【讨论】：
简短的回答是：是的。
长答案：
安全性：您的应用程序的用户应该与您自己作为管理员的用户不同。该应用程序用户应该只对它需要访问的特定数据库具有读取（和必要时写入）权限。此外，它不应具有授予特权、删除表特权、数据库创建/删除特权或为您保留的任何其他特权。
方便：如果您需要更改密码，您不必更改您的应用程序，反之亦然。
【讨论】：