您可能会发现以下使用答案:
此外:
GRANT只执行权限,因此您的应用程序级用户只能调用存储过程.这样,您的应用程序用户只能通过您的存储过程API与数据库交互,它们不能直接:
select, insert, delete, update, truncate, drop, describe, show etc.
没有那么安全得多.唯一的例外是如果你在存储过程中使用了动态sql,我会不惜一切代价避免 – 或者至少要知道你这样做的危险.
在构建数据库时,例如foo_db,我通常会创建两个用户.第一个foo_dbo(数据库所有者)是拥有数据库并被授予完全权限(ALL)的用户,因此他们可以根据需要创建模式对象和操作数据.第二个用户foo_usr(应用程序用户)仅被授予执行permisisons,并在我的应用程序代码中用于通过我创建的存储过程API访问数据库.
grant all on foo_db.* to foo_dbo@localhost identified by 'pass';
grant execute on foo_db.* to foo_usr@localhost identified by 'pass';
最后,您可以使用mysql_real_escape_string改进上面的代码示例:
$sqlCmd = sprintf("call usp_inserturl('%s','%s','%s')",
mysql_real_escape_string($longurl),
mysql_real_escape_string($shorturl),
mysql_real_escape_string($source));
$result = mysql_query($sqlCmd);
希望这可以帮助 :)