Bảo mật trong SQL

Cấp phát quyền cho người dùng trên các đối tượng cơ sở dữ liệu

Chỉ có người sở hữu cơ sở dữ liệu hoặc người sở hữu đối tượng cơ sở dữ liệu mới có thể cấp phát quyền cho người dùng trên các đối tượng cơ sở dữ liệu. Câu lệnh GRANT trong trường hợp này có cú pháp như sau:

GRANT ALL [PRIVILEGES]| các_quyền_cấp_phát         [(danh_sách_cột)])] ON tên_bảng|tên_khung_nhìn
|ON tên_bảng| tên_khung_nhìn[(danh_sách_cột)])]
|ON tên_thủ_tục
|ON tên_hàm
TO danh_sách_người_dùng| nhóm_người_dùng
[WITH GRANT OPTION ]

Trong đó:

ALL [PRIVILEGES] Cấp phát tất cả các quyền cho người dùng trên đối tượng cơ sở dữ liệu được chỉ định. Các quyền có thể cấp phát cho người dùng bao gồm:

• Đối với bảng, khung nhìn, và hàm trả về dữ liệu kiểu bảng: SELECT, INSERT, DELETE, UPDATE và REFERENCES.

• Đối với cột trong bảng, khung nhìn: SELECT và UPDATE.

• Đối với thủ tục lưu trữ và hàm vô hướng: EXECUTE.

Trong các quyền được đề cập đến ở trên, quyền REFERENCES được sử dụng nhằm cho phép tạo khóa ngoài tham chiếu đến bảng cấp phát.

các_quyền_cấp_phát Danh sách các quyền cần cấp phát cho người dùng trên đối tượng cơ sở dữ liệu được chỉ định. Các quyền được phân cách nhau bởi dấu phẩy

tên_bảng|tên_khung_nhìn Tên của bảng hoặc khung nhìn cần cấp phát quyền.

danh_sách_cột Danh sách các cột của bảng hoặc khung nhìn cần cấp phát quyền.

tên_thủ_tục Tên của thủ tục được cấp phát cho người dùng.

tên_hàm Tên hàm (do người dùng định nghĩa) được cấp phát quyền.

danh_sách_người_dùng Danh sách tên người dùng nhận quyền được cấp phát. Tên của các người dùng được phân cách nhau bởi dấu phẩy.

WITH GRANT OPTION Cho phép người dùng chuyển tiếp quyền cho người dùng khác.

Các ví dụ dưới đây sẽ minh hoạ cho ta cách sử dụng câu lệnh GRANT để cấp phát quyền cho người dùng trên các đối tượng cơ sở dữ liệu.

SELECT, INSERT và UPDATE trên bảng LOP
GRANT SELECT,INSERT,UPDATE 
ON lop
TO thuchanh

GRANT SELECT
(hodem,ten,ngaysinh) ON sinhvien
TO thuchanh
hoặc:
GRANT SELECT
ON sinhvien(hodem,ten,ngaysinh) TO thuchanh

SELECT hoden,ten,ngaysinh
FROM sinhvien

SELECT * FROM sinhvien

Trong trường hợp cần cấp phát tất cả các quyền có thể thực hiện được trên đối tượng cơ sở dữ liệu cho người dùng, thay vì liệt kê các câu lệnh, ta chỉ cần sử dụng từ khoá ALL PRIVILEGES (từ khóa PRIVILEGES có thể không cần chỉ định). Câu lệnh dưới đây cấp phát cho người dùng thuchanh các quyền SELECT, INSERT, UPDATE, DELETE VÀ REFERENCES trên bảng DIEMTHI

GRANT ALL ON 
DIEMTHI TO thuchanh

Khi ta cấp phát quyền nào đó cho một người dùng trên một đối tượng cơ sở dữ liệu, người dùng đó có thể thực thi câu lệnh được cho phép trên đối tượng đã cấp phát. Tuy nhiên, người dùng đó không có quyền cấp phát những quyền mà mình được phép cho những người sử dụng khác.Trong một số trường hợp, khi ta cấp phát quyền cho một người dùng nào đó, ta có thể cho phép người đó chuyển tiếp quyền cho người dùng khác bằng cách chỉ định tuỳ chọn WITH GRANT OPTION trong câu lệnh GRANT.

GRANT SELECT
ON sinhvien
TO thuchanh
WITH GRANT OPTION

Cấp phát quyền thực thi các câu lệnh

Ngoài chức năng cấp phát quyền cho người sử dụng trên các đối tượng cơ sở dữ liệu, câu lệnh GRANT còn có thể sử dụng để cấp phát cho người sử dụng một số quyền trên hệ quản trị cơ sở dữ liệu hoặc cơ sở dữ liệu. Những quyền có thể cấp phát trong trường hợp này bao gồm:

• Tạo cơ sở dữ liệu:

CREATE DATEBASE.

• Tạo bảng:

CREATE RULE

• Tạo khung nhìn:

 CREATE VIEW

• Tạo thủ tục lưu trữ:

CREATE PROCEDURE.

• Tạo hàm:

CREATE FUNCTION

• Sao lưu cơ sở dữ liệu:

BACKUP DATABASE

Câu lệnh GRANT sử dụng trong trường hợp này có cú pháp như sau:

GRANT ALL | danh_sách_câu_lênh
TO danh_sách_người_dùng

GRANT CREATE TABLE,CREATE VIEW
TO thuchanh

Với câu lệnh GRANT, ta có thể cho phép người sử dụng tạo các đối tượng cơ sở dữ liệu trong cơ sở dữ liệu. Đối tượng cơ sở dữ liệu do người dùng nào tạo ra sẽ do người đó sở hữu và do đó người này có quyền cho người dùng khác sử dụng đối tượng và cũng có thể xóa bỏ (DROP) đối tượng do mình tạo ra.

Khác với trường hợp sử dụng câu lệnh GRANT để cấp phát quyền trên đối tượng cơ sở dữ liệu, câu lệnh GRANT trong trường hợp này không thể sử dụng tuỳ chọn WITH GRANT OPTION, tức là người dùng không thể chuyển tiếp được các quyền thực thi các câu lệnh đã được cấp phát.

Thu hồi quyền trên đối tượng cơ sở dữ liệu:

Cú pháp câu lệnh REVOKE sử dụng để thu hồi quyền đã cấp phát trên đối tượng cơ sở dữ liệu có cú pháp như sau:

          
REVOKE [GRANT OPTION FOR]
ALL [PRIVILEGES]| các_quyền_cần_thu_hồi
[(danh_sách_cột)] ON tên_bảng | tên_khung_nhìn
|ON tên_bảng | tên_khung_nhìn [(danh_sách_cột)]
|ON tên_thủ_tục
|ON tên_hàm
FROM danh_sách_người_dùng
[CASCADE]
    

Câu lệnh REVOKE có thể sử dụng để thu hồi một số quyền đã cấp phát cho người dùng hoặc là thu hồi tất cả các quyền (ALL PRIVILEGES).

REVOKE INSERT ON lop
    FROM thuchanh
    

REVOKE SELECT
    ON sinhvien(ngaysinh) FROM thuchanh
    

Khi ta sử dụng câu lệnh REVOKE để thu hồi quyền trên một đối tượng cơ sở dữ liêu từ một người dùng náo đó, chỉ những quyền mà ta đã cấp phát trước đó mới được thu hồi, những quyền mà người dùng này được cho phép bởi những người dùng khác vẫn còn có hiệu lực. Nói cách khác, nếu hai người dùng khác nhau cấp phát cùng các quyền trên cùng một đối tượng cơ sở dữ liệu cho một người dùng khác, sau đó người thu nhất thu hồi lại quyền đã cấp phát thì những quyền mà người dùng thứ hai cấp phát vẫn có hiệu lực.

GRANT SELECT ON R TO C
    

GRANT SELECT, INSERTON R TO C
    

REVOKE SELECT, INSERT ON R FROM C
    

Nếu ta đã cấp phát quyền cho người dùng nào đó bằng câu lệnh GRANT với tuỳ chọn WITH GRANT OPTION thì khi thu hồi quyền bằng câu lệnh REVOKE phải chỉ định tuỳ chọn CASCADE. Trong trường hợp này, các quyền được chuyển tiếp cho những người dùng khác cũng đồng thời được thu hồi.

GRANT SELECT ON R TO A
    WITH GRANT OPTION
    

GRANT SELECT ON R TO B
    

REVOKE SELECT ON NHANVIEN FROM A CASCADE
    

Trong trường hợp cần thu hồi các quyền đã được chuyển tiếp và khả năng chuyển tiếp các quyền đối với những người đã được cấp phát quyền với tuỳ chọn WITH GRANT OPTION, trong câu lệnh REVOKE ta chỉ định mệnh đề GRANT OPTION FOR.

REVOKE SELECT ON NHANVIEN FROM A CASCADE
    

REVOKE GRANT OPTION FOR SELECT ON NHANVIEN
    FROM A CASCADE
    

Thu hồi quyền thực thi các câu lênh:

Việc thu hồi quyền thực thi các câu lệnh trên cơ sở dữ liệu (CREATE DATABASE, CREATE TABLE, CREATE VIEW,...) được thực hiện đơn giản với câu lệnh REVOKE có cú pháp:

REVOKE ALL | các_câu_lệnh_cần_thu_hồi
    FROM danh_sách_người_dùng
    

REVOKE CREATE TABLE FROM thuchanh