mysql 视图 定义者_MySQL视图定义者和安全性definer/invoker的一次踩坑经历

坑

昨天在做MySQL数据库用户权限规范的时候，将原来业务帐号'user'@'%'修改为'user'@'192.168.1.%'时，忽然发现业务系统部分业务报404错误，后面找到程序员排查原因，发现是因为报错的业务在调用数据库时，使用了视图，而视图的定义者是原来的'user'@'%'，并且安全性设置的是definer，现在这个用户不存在了，虽然新用户'user'@'192.168.1.%’拥有和原来相同的数据库权限，但是依然不能使用这些视图。

找到了原因，那么解决办法也就出来了：一是将所有视图的定义者修改为'user'@'192.168.1.%'；二是将安全性定义由definer设置为invoker。因为是生产环境，不能随便搞，所以采用的是第一种方法，第二种方法没有再试。

原理

definer和invoker的区别

在创建视图或者是存储过程的时候，是需要定义安全验证方式的(也就是安全性SQL SECURITY)，其值可以为definer或invoker，表示在执行过程中，使用谁的权限来执行。

definer:由definer(定义者)指定的用户的权限来执行

invoker:由调用这个视图(存储过程)的用户的权限来执行

definer

当定义为DEFINER时，必须数据库中存在DEFINER指定的用户，并且该用户拥有对应的操作权限，才能成功执行。与当前用户是否有权限无关。

示例：

CREATE DEFINER=dev@% PROCEDURE p_user_login(IN u_name VARCHAR(25), IN u_password VARCHAR(100))

BEGIN

SELECT u.id, u.name, u.tid, u.status, u.is_report FROM v_user u WHERE u.name=u_name AND u.password=u_password AND u.status=1;

END;

invoker

当定义为INVOKER时，只要执行者有执行权限，就可以成功执行。

示例：

CREATE DEFINER=dev@% PROCEDURE p_user_login(IN u_name VARCHAR(25), IN u_password VARCHAR(100))

SQL SECURITY INVOKER

BEGIN

SELECT u.id, u.name, u.tid, u.status, u.is_report FROM v_user u WHERE u.name=u_name AND u.password=u_password AND u.status=1;

END;

喜欢 (1)or分享 (0)