MySQL8.0+中引入的SET_USER_ID权限

SET_USER_ID 是 MySQL 8.0 引入的一个细粒度权限 Granular Privilege ,旨在解决“最小权限原则”与“指定 DEFINER”之间的矛盾。

在 MySQL 5.7 及以前,如果你想创建一个 DEFINER 为其他用户 非当前

然而,SUPER 权限过大,它包含了重启服务器、修改全局变量、杀死任意线程等高危操作。为了安全起见,云数据库 如阿里云 RDS、AWS Aurora 通常禁止给用户授予 SUPER 权限。

这就导致了一个困境:普通管理员无法创建指定其他用户为 DEFINER 的对象。

MySQL 8.0 引入 SET_USER_ID就是为了解决这个问题。

SET_USER_ID 的核心作用

拥有 SET_USER_ID 权限的用户,可以执行以下操作:

  • 在创建存储过程、函数、视图、触发器时,指定任意其他用户作为 DEFINER。
  • 使用 SET ROLE 语句切换角色。
  • 本质上,它允许你“冒充”另一个用户的身份来定义对象,但不赋予你该用户的其他特权 如删除数据、重启服务等 。

为什么需要它? 场景举例

假设你是一个 DevOps 工程师,负责部署应用。

  • 应用代码中有一个存储过程 proc_update_order。
  • 为了安全,这个存储过程应该以应用专用账号 app_user 的身份运行 即 DEFINER 'app_user' '%' ,而不是以你的个人管理员账号 admin_user 运行。
  • 在 MySQL 5.7 中:你需要 SUPER 权限才能创建 DEFINER 'app_user' 的过程。但云厂商不给你 SUPER。
  • 在 MySQL 8.0 中:DBA 可以只给你授予 SET_USER_ID 权限。你就可以合法地创建 DEFINER 'app_user' 的过程,而无需拥有危险的 SUPER 权限。

注意事项

  • 在原生 MySQL 中,SET_USER_ID 是一个全局权限 Global Privilege
  • 授予此权限需要 SUPER 权限执行
  • SET_USER_ID是 MySQL 8.0 引入

总结

SET_USER_ID 是 MySQL 8.0 为了安全地替代 SUPER 权限中“指定 DEFINER”这一功能而设计的。它是一个好特性,但在当前的云数据库环境中,普及度和开放度依然有限。对于大多数开发者来说,避免硬编码 DEFINER 仍然是最稳妥、兼容性最好的做法。