ShardingSphere-Proxy 认证与授权配置详解

卓蔷蓓Mark

于 2025-06-02 09:00:11 发布

阅读量296

点赞数 5

本文链接：https://blog.youkuaiyun.com/gitblog_01101/article/details/148374490

版权

ShardingSphere-Proxy 认证与授权配置详解

shardingsphere 项目地址: https://gitcode.com/gh_mirrors/shard/shardingsphere

概述

ShardingSphere-Proxy 作为分布式数据库中间件，提供了完善的用户认证和权限管理机制。本文将详细介绍如何在 ShardingSphere-Proxy 中配置用户认证信息和权限控制，帮助管理员构建安全的数据库访问环境。

认证与授权基础概念

在数据库系统中，认证(Authentication)和授权(Authorization)是两个核心安全机制：

认证：验证用户身份的真实性，通常通过用户名和密码组合实现
授权：确定已认证用户可以访问哪些资源或执行哪些操作

ShardingSphere-Proxy 实现了这两大功能，并提供了灵活的配置方式。

权限提供者类型

ShardingSphere-Proxy 提供了两种权限提供者模式：

1. ALL_PERMITTED（全权限模式）

在这种模式下，所有用户都拥有对所有逻辑库的完全访问权限。这种模式虽然配置简单，但安全性较低，适合开发测试环境使用。需要注意的是，该模式将在未来版本中被移除。

2. DATABASE_PERMITTED（数据库权限模式）

这是推荐的生产环境使用模式，管理员可以精确控制每个用户可以访问哪些逻辑库。通过user-database-mappings配置项实现细粒度的权限控制。

详细配置解析

用户配置

用户配置位于authority.users节点下，主要包含以下参数：

users:
  - user: username@host  # 用户名和主机组合
    password: password   # 用户密码
    admin: true/false    # 是否管理员权限
    authenticationMethodName: method # 认证方式

user：格式为<username>@<hostname>，hostname为%表示不限制主机
password：用户密码，建议使用强密码
admin：标记是否为管理员，管理员拥有所有权限
authenticationMethodName：指定密码认证方式

认证器配置

认证器配置位于authority.authenticators节点下：

authenticators:
  authenticatorName:
    type: MD5/SHA256/... # 认证算法类型

ShardingSphere-Proxy 支持多种密码认证算法，常见的有：

MD5
SHA256
SCRAM-SHA-256
其他数据库特定的认证算法

权限配置

权限配置位于authority.privilege节点下：

privilege:
  type: ALL_PERMITTED/DATABASE_PERMITTED
  props:
    user-database-mappings: user@host=database1,database2

user-database-mappings的语法规则：

使用逗号分隔多个用户映射
使用等号连接用户和可访问的数据库
使用星号(*)表示所有数据库
使用逗号分隔多个数据库

典型配置示例

基础配置示例

authority:
  users:
    - user: admin@%
      password: Admin@123
      admin: true
    - user: app_user@192.168.1.%
      password: App@123
  privilege:
    type: DATABASE_PERMITTED
    props:
      user-database-mappings: app_user@192.168.1.%=order_db,inventory_db

这个配置创建了两个用户：

管理员用户admin可以从任何主机连接，拥有所有权限
应用用户app_user只能从192.168.1.0/24网段连接，只能访问order_db和inventory_db两个数据库

多认证方式配置示例

authority:
  users:
    - user: legacy_user@%
      password: legacy123
      authenticationMethodName: md5
    - user: secure_user@%
      password: secure123
      authenticationMethodName: sha256
  authenticators:
    md5:
      type: MD5
    sha256:
      type: SHA256
  defaultAuthenticator: sha256
  privilege:
    type: DATABASE_PERMITTED

这个配置展示了：