第四章 数据库安全性

• 4.2数据库安全性控制
• 三.自主存取控制方法
• 四.授权：授予与收回
• • 1.GRANT
  • 2.REVOKE
• 五.数据库角色
• • 1.角色的创建
  • 2.给角色授权
  • 3.将一个角色授予其他的角色或用户
  • 4.角色权限的收回

4.2数据库安全性控制

三.自主存取控制方法

关系数据库系统中的存取权限：

四.授权：授予与收回

SQL中使用 GRANT 和 REVOKE 语句向用户授予或收回对数据的操作权限。
GRANT 语句向用户 授予 权限， REVOKE 语句 收回 已经授予用户的权限。

1.GRANT

语句的一般格式：

GRANT <权限>[,<权限>]... 
ON <对象类型> <对象名>[,<对象类型> <对象名>]…
TO <用户>[,<用户>]...
[WITH GRANT OPTION];

WITH GRANT OPTION 子句 : 若 指定了，获得权限的用户可以再把权限授予给其他用户。
若没有指定，获得权限的用户 只能使用该权限，不能传播。

再进行下列操作之前，首先得创建用户U1,U2,U3,U4,U5,U6,U7。
创建方法详见第一次作业。
创建结果：

【例4.1】把查询Student表权限授给用户U1。

GRANT  SELECT 
ON TABLE Student  ---报错
TO U1; 

GRANT SELECT 
ON Student  ---可执行
TO U1;  

操作结果：

【例4.2】把对Student表和Course表的全部权限授予用户U2和U3。

GRANT ALL PRIVILEGES 
ON Table Student,Course
TO U2,U3; ---报错

经查询，T-SQL 不支持同时授予用户多个操作权限 也不支持同时对两个表赋权

GRANT ALL PRIVILEGES  
ON Student
TO U2,U3;
GRANT ALL PRIVILEGES  
ON Course
TO U2,U3;

操作结果：


系统提示：

【例4.3】 把对表SC的查询权限授予所有用户。

GRANT SELECT
ON SC
TO PUBLIC;

操作结果：PUBLIC 权限被授予。
查询SC表的属性得到：

【例4.4】把查询Student表和修改学生学号的权限授给用户U4。

GRANT UPDATE(Sno),SELECT 
ON Student
TO U4 

操作结果：

【例4.5】把对表SC的INSERT权限授予U5用户，并允许他再将此权限授予其他用户。

GRANT INSERT
ON SC  
TO U5
WITH GRANT OPTION;

操作结果：

【例4.6】执行例4.5后，U5不仅拥有了对表SC的INSERT权限，
还可以传播此权限 ：

GRANT INSERT
ON SC
TO U6
WITH GRANT OPTION;

操作结果：U5将此权限授权给了U6

【例4.7】同样，U6还可以将此权限授予U7：

GRANT INSERT 
ON SC 
TO U7;

操作结果：

注意：没有 WITH GRANT OPTION;语句，U6未给U7传播的权限，所以U7不能再传播此权限。

2.REVOKE

语句的一般格式为：

REVOKE <权限>[,<权限>]... 
ON <对象类型> <对象名>[,<对象类型><对象名>]…
FROM <用户>[,<用户>]...[CASCADE | RESTRICT];

【例4.8】把用户U4修改学生学号的权限收回.

REVOKE UPDATE(Sno)
ON Student
FROM U4

操作结果：U4的权限被收回

【例4.9】收回所有用户对表SC的查询权限。

REVOKE SELECT
ON SC
FROM PUBLIC;

操作结果：查询权限被收回。
查看SC表的权限可得：

【例4.10】把用户U5对SC表的INSERT权限收回.

REVOKE INSERT
ON SC
FROM U5 CASCADE;

操作结果：U5的权限被收回。

注意！： 将用户U5的 INSERT 权限收回的同时，级联（CASCADE） 收回了 U6 和 U7 的 INSERT 权限，否则系统将拒绝执行该命令。

五.数据库角色

数据库角色 是被命名的 一组 与数据库操作相关的权限，角色是权限的集合。

1.角色的创建

SQL语句格式：

CREATE ROLE <角色名> 

2.给角色授权

SQL语句格式：

GRANT  <权限>[,<权限>]… 
ON <对象类型>对象名  
TO <角色>[,<角色>]…

数据库管理员和用户可以利用 GRANT 语句将权限授予某一个或几个角色。

3.将一个角色授予其他的角色或用户

SQL语句格式：

GRANT  <角色1>[,<角色2>]…
TO  <角色3>[,<用户1>]… 
[WITH ADMIN OPTION]

1）： 该语句把角色授予某用户，或授予另一个角色。
2）： 授予者是角色的创建者或拥有在这个角色上的 ADMIN OPTION 。
3）： 指定了 WITH ADMIN OPTION 则获得某种权限的角色或用户还可以把这种权限授予其他角色。

注意！ ：一个角色的权限包括 直接授予这个角色的全部权限 加上 其他角色授予这个角色的全部权限 。

4.角色权限的收回

SQL语句：

REVOKE <权限>[,<权限>]…
ON <对象类型> <对象名>
FROM <角色>[,<角色>]…

用户可以回收角色的权限，从而修改角色拥有的权限。
REVOKE 动作的执行者或者是角色的创建者，或者拥有在这个（些）角色上的 ADMIN OPTION 。

【例4.11】通过角色来实现将一组权限授予一个用户。

①：首先创建一个角色R1。

CREATE ROLE R1

操作结果：

②：然后使用 GRANT 语句，使角色R1拥有Student表的 SELECT、UPDATE、INSERT权限 。

GRANT SELECT,UPDATE,INSERT
ON Student
TO R1

操作结果：

③：将这个角色授予王平，张明，赵玲。使他们具有角色R1所包含的全部权限。
1）首先新建用户王平、张明、赵玲

2）授予权限

GRANT R1
TO 王平,张明,赵玲; ---报错

经查询，T-SQL 支持的语言：

EXEC sp_addrolemember 'R1','王平'
EXEC sp_addrolemember 'R1','张明'
EXEC sp_addrolemember 'R1','赵玲'

操作结果：

④：可以一次性地通过R1来收回王平的这3个权限。

REVOKE R1
FROM 王平 ---报错

经查询，T-SQL 支持的语言：

EXEC sp_droprolemember 'R1','王平'

操作结果：

【例4.12】角色权限的修改

GRANT DELETE
ON Student
TO R1

操作结果：使角色R1在原来的基础上增加了Student表的 DELETE 权限。

【例4.13】

REVOKE SELECT
ON Student
FROM R1

操作结果：使R1减少了SELETE 权限。

总结：本次实验难度不大，但是要特别注意T-SQL语句与标准SQL语句的不同。