在 SQL 中，用戶管理和權限操作是數據庫安全管理的核心組成部分，用于控制 “誰能訪問數據庫” 以及 “能對數據庫做什么”。它們共同保障數據庫的安全性、完整性和合規性。

一、用戶管理：控制 “誰能訪問數據庫”

用戶管理是指對數據庫用戶的創建、修改、刪除等一系列操作，核心是管理 “訪問主體”—— 即哪些用戶（或程序）有權限連接到數據庫。

1. 核心操作

• 創建用戶：定義可登錄數據庫的賬號，指定登錄來源（如僅允許本地登錄，或允許遠程登錄）和認證密碼。
  例：create user 'dev'@'localhost' identified by 'Dev@123';（創建用戶dev，僅允許從本地登錄，密碼Dev@123）。
• 修改用戶：更新用戶密碼、登錄來源或認證方式（如 MySQL 中修改密碼插件）。
  例：alter user 'dev'@'localhost' identified by 'NewDev@456';（修改dev的密碼）。
• 刪除用戶：移除不再需要的用戶，徹底禁止其訪問。
  例：drop user 'dev'@'localhost';（刪除dev用戶）。

2. 用戶的構成

一個完整的數據庫用戶由兩部分組成：

• 用戶名：標識用戶的唯一名稱（如dev、admin）。
• 主機名（或 IP）：限制用戶的登錄來源（如localhost表示僅本地登錄，%表示允許任意 IP 遠程登錄，192.168.1.%表示允許特定網段登錄）。

這一設計的目的是限制訪問范圍，例如：生產庫的管理員賬號通常僅允許本地登錄，避免遠程攻擊風險。

二、權限操作：控制 “能對數據庫做什么”

權限操作是指對用戶可執行的數據庫操作（如查詢、修改、刪除數據，創建表等）進行授權或撤銷，核心是管理 “訪問權限”—— 即用戶連接數據庫后能執行的具體操作。

1. 權限的類型

數據庫權限可按粒度分為多個層級，以 MySQL 為例：

• 全局權限：對所有數據庫生效（如CREATE USER管理用戶的權限、SHUTDOWN關閉數據庫的權限）。
• 庫級權限：對指定數據庫生效（如SELECT、INSERT、UPDATE、DELETE，或ALL所有權限）。
  例：grant select, insert on testdb.* to 'dev'@'localhost';（允許dev查詢和插入testdb庫的所有表）。
• 表級權限：對指定表生效（如僅允許操作testdb.user表）。
  例：grant update (name) on testdb.user to 'dev'@'localhost';（僅允許dev修改testdb.user表的name字段）。
• 字段級權限：對表中特定字段生效（更精細的控制）。

2. 核心操作

• 授予權限（GRANT）：為用戶分配指定權限。
  例：grant all on itcast.* to 'heima'@'localhost';（授予heima對itcast庫所有表的全部操作權限）。
• 撤銷權限（REVOKE）：收回用戶已有的權限。
  例：revoke delete on itcast.* from 'heima'@'localhost';（收回heima刪除itcast庫數據的權限）。
• 查詢權限（SHOW GRANTS）：查看用戶當前擁有的權限。
  例：show grants for 'heima'@'localhost';（查看heima的權限）。

三、用戶管理與權限操作的意義

1. 保障數據庫安全
   防止未授權訪問：通過用戶管理限制 “誰能登錄”，通過權限控制限制 “能做什么”，避免無關人員訪問或篡改數據（如禁止普通用戶刪除核心表）。

2. 實現職責分離
   不同角色的用戶分配不同權限：

   • 開發人員：僅授予查詢、插入測試數據的權限，無刪除生產數據的權限；
   • 管理員：擁有全局管理權限（如備份、創建用戶）；
   • 審計人員：僅授予查詢日志的權限，無修改數據的權限。
     這種 “最小權限原則” 可減少誤操作或惡意操作的風險。

3. 保護數據完整性
   限制不合理操作：例如禁止普通用戶修改表結構（ALTER TABLE），避免因誤操作導致表結構損壞；限制字段級權限（如僅允許修改user表的status字段），防止核心字段（如id）被篡改。

4. 滿足合規要求
   許多行業（如金融、醫療）有嚴格的數據安全法規（如 GDPR、HIPAA），要求記錄數據訪問日志并限制權限范圍。用戶管理和權限操作是滿足這些法規的基礎（例如：僅授權必要人員訪問敏感數據，如身份證號、病歷）。

5. 便于管理與審計
   通過用戶隔離操作來源：每個操作（如刪除數據、修改表結構）都會關聯到具體用戶，便于出現問題時追溯責任（例如：通過日志定位 “誰刪除了訂單表數據”）。

總結

用戶管理和權限操作是數據庫安全的 “雙重防線”：

• 用戶管理解決 “身份驗證” 問題（確認 “你是誰”）；
• 權限操作解決 “授權控制” 問題（確認 “你能做什么”）。

合理配置這兩項操作，能有效降低數據泄露、誤操作、惡意攻擊的風險，確保數據庫長期穩定、安全地運行。

一、用戶管理語句（創建、修改用戶）

1. 創建本地用戶heima

-- 創建用戶：用戶名'heima'，僅允許從本地(localhost)登錄，密碼'123456'
-- 格式：create user '用戶名'@'主機名' identified by '密碼';
-- 主機名說明：localhost表示僅本地可登錄；%表示任意主機可登錄
create user 'heima'@'localhost' identified by '123456';

2. 創建允許遠程登錄的用戶itcast

-- 創建用戶：用戶名'itcast'，允許從任意主機(%表示所有IP)登錄，密碼'123456'
create user 'itcast'@'%' identified by '123456';

3. 修改用戶heima的密碼及認證插件

-- 修改用戶密碼：將'heima'@'localhost'的密碼改為'1234'，并指定認證插件為mysql_native_password
-- 注意：mysql_native_password是MySQL傳統認證插件，兼容舊版本客戶端；8.0+默認使用caching_sha2_password
alter user 'heima'@'localhost' identified with mysql_native_password by '1234';

注意事項：

• 主機名%表示允許所有 IP 登錄，生產環境中需限制具體 IP 以提高安全性；
• 密碼應符合復雜度要求（如長度、字符組合），避免簡單密碼；
• 修改認證插件可能影響客戶端連接（需客戶端支持對應插件）。

二、權限操作語句

1. 查詢用戶權限

-- 查看'heima'@'localhost'的所有權限
show grants for 'heima'@'localhost';

2. 授予權限

-- 授予'heima'@'localhost'對itcast數據庫下所有表(*)的所有權限(all)
-- 格式：grant 權限列表 on 數據庫.表名 to '用戶'@'主機';
-- all表示所有權限（如select、insert、update等）；itcast.*表示itcast庫的所有表
grant all on itcast.* to 'heima'@'localhost';

3. 撤銷權限

-- 撤銷'heima'@'localhost'對itcast數據庫下所有表的所有權限
revoke all on itcast.* from 'heima'@'localhost';

注意事項：

• 權限粒度可控制到庫（db.*）、表（db.table）或字段級別；
• 授予all權限需謹慎，生產環境建議遵循 “最小權限原則”；
• 撤銷權限后，已建立的連接需重新連接才會生效。