数据库实验三--安全性

A37644548

已于 2025-04-05 22:26:48 修改

阅读量517

点赞数 14

文章标签：数据库

于 2025-04-05 22:24:02 首次发布

本文链接：https://blog.youkuaiyun.com/A37644548/article/details/147016376

版权

一、实验目的与要求： 1、设计用户子模式

2、根据实际需要创建用户角色及用户，并授权

3、针对不同级别的用户定义不同的视图，以保证系统的安全性

二、实验内容： 1、先创建四类用户角色：管理员角色Admin、客户角色Cusm、供货商角色Supp、商家销售工作人员角色Salor。

-- 创建管理员角色
CREATE ROLE 'Admin';

-- 创建客户角色
CREATE ROLE 'Cusm';

-- 创建供货商角色
CREATE ROLE 'Supp';

-- 创建商家销售工作人员角色
CREATE ROLE 'Salor';

2、创建客户视图、供货商视图

（1）客户视图要求显示所有客户号及对应客户下的所有订单及每个订单的价格

--客户视图
CREATE VIEW CustomerView AS
SELECT c.customer_id, c.customer_name, o.order_id, o.order_date, o.total_price
FROM Customers c
JOIN Orders o ON c.customer_id = o.customer_id;

（2）供货商视图要求显示所有供货商号及供货商所供水果信息

--供货商视图
CREATE VIEW SupplierView AS
SELECT s.supplier_id, s.supplier_name, p.product_id, p.product_name, p.price
FROM Suppliers s
JOIN Products p ON s.supplier_id = p.supplier_id;

3.为以上四类用户角色授予合适的权限（1）管理员拥有所有权限:

GRANT ALL PRIVILEGES ON SalesDB.* TO 'Admin';

（2）客户只能查看与之相关的信息（基本信息，购买信息）

GRANT SELECT ON SalesDB.Customers TO 'Cusm';
GRANT SELECT ON SalesDB.CustomerView TO 'Cusm';

（3）供货商只能查看与之相关的信息(可以查看自己供货的水果信息)。

GRANT SELECT ON SalesDB.Suppliers TO 'Supp';
GRANT SELECT ON SalesDB.SupplierView TO 'Supp';

（4）商家销售工作人员可以查看数据库并录入信息，但不能修改、删除；

GRANT SELECT, INSERT ON SalesDB.Orders TO 'Salor';
GRANT SELECT, INSERT ON SalesDB.OrderDetails TO 'Salor';
GRANT SELECT ON SalesDB.Products TO 'Salor';
GRANT SELECT ON SalesDB.Customers TO 'Salor';

4．为每类用户角色至少创建一个用户（新建用户并分配对应的角色，统一设置初始密码为’123456’）注意：附上源码，创建用户并授权成功后在交互式运行状态下查看每个用户权限并截图客户用户：C001，任意主机地址，授权为客户角色的所有权限；供货商用户：S001，任意主机地址，授权为供货商角色的所有权限；；商家销售工作人员用户：B001，任意主机地址，授权为销售工作人员角色的所有权限；；管理员用户：A001，本机，拥有所有权限

-- 创建客户用户
CREATE USER 'C001'@'%' IDENTIFIED BY '123456';
GRANT 'Cusm' TO 'C001'@'%';

-- 创建供货商用户
CREATE USER 'S001'@'%' IDENTIFIED BY '123456';
GRANT 'Supp' TO 'S001'@'%';

-- 创建销售工作人员用户
CREATE USER 'B001'@'%' IDENTIFIED BY '123456';
GRANT 'Salor' TO 'B001'@'%';

-- 创建管理员用户
CREATE USER 'A001'@'localhost' IDENTIFIED BY '123456';
GRANT 'Admin' TO 'A001'@'localhost';

-- 激活角色
SET DEFAULT ROLE ALL TO 'C001'@'%';
SET DEFAULT ROLE ALL TO 'S001'@'%';
SET DEFAULT ROLE ALL TO 'B001'@'%';
SET DEFAULT ROLE ALL TO 'A001'@'localhost';

1.以下为测试客户的权限

-- 1. 使用客户账户登录
mysql -u C001 -p

-- 2. 设置角色
SET ROLE 'Cusm';

-- 3. 选择的数据库
USE SalesDB;

-- 4. 查询视图（应成功）
SELECT * FROM CustomerView;

测试客户的非法操作(应失败)

UPDATE Customers SET customer_name = '测试' WHERE customer_id = 'C001';
--错误原因：客户角色只有SELECT权限

2.以下为测试供货商用户的权限

-- 登录MySQL
mysql -u S001 -p123456

-- 设置角色
SET ROLE 'Supp';

-- 测试查询（应成功）
SELECT * FROM SupplierView;

-- 测试非法操作（应失败）
DELETE FROM Products WHERE product_id = 'P001';
-- 错误原因：供货商角色只有SELECT权限

3.以下为测试销售工作人员用户的权限

-- 登录MySQL
mysql -u B001 -p123456

-- 设置角色
SET ROLE 'Salor';

-- 测试查询和插入（应成功）
SELECT * FROM Orders;
INSERT INTO Orders VALUES ('O005', 'C002', CURDATE(), 180.00);

-- 测试非法操作（应失败）
DELETE FROM Orders WHERE order_id = 'O001';
-- 错误原因：销售角色没有DELETE权限

-- 测试非法操作（应失败）
DELETE FROM Orders WHERE order_id = 'O001';
-- 错误原因：销售角色没有DELETE权限

4.以下为测试管理员用户的权限

-- 登录MySQL
mysql -u A001 -p123456 -h localhost

-- 设置角色
SET ROLE 'Admin';

-- 测试所有操作（应全部成功）
SELECT * FROM Customers;
UPDATE Customers SET phone = '13800138888' WHERE customer_id = 'C001';
DELETE FROM Orders WHERE order_id = 'O005';
CREATE TABLE TestTable (id INT);
DROP TABLE TestTable;