CRUD管理員：爲什麼不使用MySQL用戶進行auth/acl而不是用戶/組表？

Question

在幾個框架（symfony/Django）中，您有管理生成器，通常通過用戶表（它將用戶分配到指定的組表）來控制訪問。

我很好奇，爲什麼不簡單地使用MySQL的實際用戶（選擇/讀/寫訪問已經出爐）呢？

Answer 1

另一個沒有列出的好理由是MySQL用戶名/密碼以明文形式存儲在配置文件中。您的代碼中可能存在一個漏洞，允許用戶讀取文本文件，然後該文件可以立即訪問黑客而不必破壞密碼哈希。讓您的數據庫遠程訪問是嚴重的安全隱患，PCI-DSS禁止使用該數據庫。

另一個很好的原因是，爲了添加新帳戶或更改密碼，您的Web應用程序需要ROOT訪問權限，這是您可以做的最糟糕的事情之一。在許多數據庫（包括mysql）中，這使黑客很容易將sql注入漏洞轉化爲完全遠程代碼執行（如上傳.php文件）。

Answer 2

我推測會有一個原因，許多ISP爲您的mysql數據庫提供只有一個用戶帳戶（沒有額外的費用），因此，這樣的說法是行不通的，因爲每個人都有相同的特權。

這裏的魔力是最低公分母和易於部署的儘可能寬和最低要求在服務器管理。

Answer 3

我想大多數人都有點吝嗇，他們的應用程序的MySQL用戶有能力爲新的MySQL用戶創建和授予權限，特別是在共享主機環境中。處理起來並不難，它將所有內容都保存在一個數據庫表中，並且您可以擁有任何您想要的權限。