怎样在持续交付流水线中自动化校验MySQL权限变更脚本？-mysql教程-PHP中文网

纯bash+mysql可完成轻量级权限校验：用mysql -N -s -e执行SQL，强制IFS=$'\t'解析；禁止变量拼接防注入；用CHAR_LENGTH(authentication_string)

怎样在持续交付流水线中自动化校验mysql权限变更脚本？

如何用 bash + mysql 命令做轻量级权限校验

CI/CD 流水线里不值得引入 Yearning 或 Python ORM，纯 shell 就能完成核心校验。关键不是“能不能跑”，而是“跑完敢不敢放行”。mysql -N -s -e 是唯一可靠入口：-N 去掉列名，-s 禁用表格对齐，输出是干净的制表符分隔文本，方便后续 while IFS=$'\t' read 解析。

常见错误现象：脚本用 mysql -e "SELECT ..." | grep -q 'Y'，结果因字段对齐空格或列名干扰误判；或用户名含空格导致 read u h 字段错位——必须强制 IFS=$'\t'。

所有 SQL 条件写死在语句里，禁止拼接变量，防注入（例如直接写 WHERE Host != 'localhost'，别用 "WHERE Host != '$host'"）
检查高危权限时，用 CHAR_LENGTH(authentication_string) 判定弱密码，比 authentication_string = '' 更兼容 MySQL 5.7 的 hash 截断
检测到 Super_priv = Y 且 Host = '%'，立即 echo "CRITICAL: wildcard super user" 并 exit 1，让流水线中断

为什么不能用 mysqldump 导出 user 表做离线分析

看似方便，实则埋雷：mysqldump mysql user 默认不导出 authentication_string 字段——它被标记为 BINARY 类型，mysqldump 会跳过。更糟的是，生成的 INSERT 语句中 User 和 Host 值会被单引号包裹，后续用 grep 或 awk 解析时极易因引号嵌套失败。

性能影响也明显：dump 全表再解析比直连查快照慢 3–5 倍，尤其当 mysql.user 因插件扩展（如 Percona Server 的额外字段）变大后，延迟更不可控。

替代方案：用 SELECT ... INTO OUTFILE '/tmp/user_check.txt' 写临时文件，权限校验完立即 rm
若需跨平台兼容，改用 SELECT ... FROM mysql.user WHERE ... INTO DUMPFILE（注意：DUMPFILE 不加换行、无分隔符，只适合单行结果）

怎样让权限校验脚本匹配真实连接行为

权限是否生效，取决于 MySQL 实际匹配的 User@Host 元组。脚本里查 'app'@'10.0.1.%'，但应用连的是 'app'@'10.0.1.123'，而该账号根本没被创建——这种错配在自动化部署中高频发生，却常被忽略。

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

必须在校验逻辑里模拟匹配规则：先查 SELECT User, Host FROM mysql.user，再用实际应用配置中的 IP（如环境变量 APP_DB_HOST=10.0.1.45）反向验证是否存在精确或通配匹配项。

用正则模拟 Host 匹配：MySQL 的 % 等价于 .*，_ 等价于 .，但脚本里别真用 sed 替换，改用 mysql -e "SELECT 1 FROM mysql.user WHERE User='app' AND Host LIKE '10.0.1.%'" 更准
避免 GRANT ALL PRIVILEGES ON *.* 类模糊授权出现在校验白名单里——它违反最小权限，脚本应直接报 REJECT: wildcard grant on *.*
MySQL 8.0+ 的角色权限需额外查 mysql.role_edges 和 mysql.role_routine_grants，仅查 mysql.user 会漏掉角色继承的权限

权限变更后如何确认新权限已对新建连接生效

执行 GRANT 后，当前连接权限不会刷新——它沿用连接建立时加载的快照。所以校验脚本不能复用已有连接，必须新开一个连接去验证。

最简验证法：用校验脚本自身生成一条测试 SQL，比如 SELECT COUNT(*) FROM information_schema.SCHEMATA，然后用目标账号直连执行。失败即说明权限未生效或 host 不匹配。

不要依赖 FLUSH PRIVILEGES：MySQL 8.0+ 中 GRANT 后自动重载，手动刷反而掩盖语法错误（如权限名拼错）
测试连接必须显式指定 -h 和 -P，模拟真实应用行为；本地测试别用 localhost（触发 socket 连接），改用 127.0.0.1（走 TCP）
若校验脚本运行在容器内，注意 DNS 解析：Host = 'ci-runner' 在数据库里存在，但容器里可能解析不到该主机名，导致连接失败误判为权限问题

真实权限校验的复杂点不在 SQL 本身，而在把“账号定义”和“连接行为”对齐。很多脚本只查表、不试连，等于纸上谈兵。只要应用连不上或连上了却报 Access denied，90% 是 host 字符串没对上，而不是权限没给够。