Mycat——安全设置

清疚 2021-08-31 06:15 422阅读 0赞

#### 权限配置 ####

1. user标签权限控制：

目前Mycat对于中间件的连接控制并没有做太负责的控制，目前只做了中间件逻辑库级别的读写权限，是通过server.xml的user标签进行配置。

<user name="mycat">
    		<property name="password">123456</property>
    		<property name="schemas">TESTDB</property>
    </user>
    <user name="user">
    		<property name="password">123456</property>
    		<property name="schemas">TESTDB</property>
    	   <property name="readOnly">true</property>
    </user>

<table> 
 <thead> 
  <tr> 
   <th align="left">标签属性</th> 
   <th align="left">说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left">name</td> 
   <td align="left">应用连接中间件逻辑库的用户名</td> 
  </tr> 
  <tr> 
   <td align="left">password</td> 
   <td align="left">该用户对应的密码</td> 
  </tr> 
  <tr> 
   <td align="left">TESTDB</td> 
   <td align="left">应用当前连接的逻辑库中所对应的逻辑表。schemas中可以配置一个或多个</td> 
  </tr> 
  <tr> 
   <td align="left">readOnly</td> 
   <td align="left">应用连接中间逻辑库所具有的权限。true为只读，false为读写都有，默认为false</td> 
  </tr> 
 </tbody> 
</table>

测试案例：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NvbGRfX19wbGF5_size_16_color_FFFFFF_t_70]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NvbGRfX19wbGF5_size_16_color_FFFFFF_t_70 1]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NvbGRfX19wbGF5_size_16_color_FFFFFF_t_70 2]

2. privileges标签权限控制：

在user标签下的privileges标签可以对逻辑库（schema）、表（table）进行精细化的DML权限控制。

privileges标签下的check属性，如true开启权限检查，为false不开启，默认为false。

由于Mycat一个用户的schemas属性可配置多个逻辑库，所以privileges的下级节点schema节点可配置多个，对多库多表进行细粒度的DML权限控制。

#配置orders表没有增删改查权限
    <user name="mycat">
    		<property name="password">123456</property>
    		<property name="schemas">TESTDB</property>
    		
    		<privileges check="false">
    			<schema name="TESTDB" dml="1111" >
    				<table name="orders" dml="0000"></table>
    				
    			</schema>
    		</privileges>		
    	</user>

配置说明：

<table> 
 <thead> 
  <tr> 
   <th align="left">DML权限</th> 
   <th align="left">增加（insert）</th> 
   <th align="left">更新（update）</th> 
   <th align="left">查询（select）</th> 
   <th align="left">删除（delete）</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left">0000</td> 
   <td align="left">禁止</td> 
   <td align="left">禁止</td> 
   <td align="left">禁止</td> 
   <td align="left">禁止</td> 
  </tr> 
  <tr> 
   <td align="left">0010</td> 
   <td align="left">禁止</td> 
   <td align="left">禁止</td> 
   <td align="left">可以</td> 
   <td align="left">禁止</td> 
  </tr> 
  <tr> 
   <td align="left">1110</td> 
   <td align="left">可以</td> 
   <td align="left">禁止</td> 
   <td align="left">禁止</td> 
   <td align="left">禁止</td> 
  </tr> 
  <tr> 
   <td align="left">1111</td> 
   <td align="left">可以</td> 
   <td align="left">可以</td> 
   <td align="left">可以</td> 
   <td align="left">可以</td> 
  </tr> 
 </tbody> 
</table>

测试案例：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NvbGRfX19wbGF5_size_16_color_FFFFFF_t_70 3]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NvbGRfX19wbGF5_size_16_color_FFFFFF_t_70 4]

#### SQL拦截 ####

firewall标签用来定义防火墙：firewall下whitehost标签用来定义IP白名单，blacklist用来定义SQL黑名单。

1. 白名单：

可以通过设置白名单，实现某主机某用户可以访问Mycat，而其他主机用户禁止访问。

配置只有192.168.140.128主机可以通过mycat用户访问：

<firewall> 
       <whitehost>
          <host host="192.168.140.128" user="mycat"/>
       </whitehost>
    </firewall>

2. 黑名单：  
可以通过设置黑名单，实现Mycat对具体SQL操作的拦截，如增删改查操作的拦截。

配置禁止myca用户进行删除操作：

<firewall> 
    	 <whitehost>
          	<host host="192.168.140.128" user="mycat"/>
          </whitehost>
          <blacklist check="true">
          	<property name="deleteAllow">false</property>
          </blacklist>
    </firewall>

<table> 
 <thead> 
  <tr> 
   <th align="left">配置项</th> 
   <th align="left">缺省值</th> 
   <th align="left">描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left">selectAllow</td> 
   <td align="left">true</td> 
   <td align="left">是否允许执行SELECT语句</td> 
  </tr> 
  <tr> 
   <td align="left">deleteAllow</td> 
   <td align="left">true</td> 
   <td align="left">是否允许执行DELETE语句</td> 
  </tr> 
  <tr> 
   <td align="left">updateAllow</td> 
   <td align="left">true</td> 
   <td align="left">是否允许执行UPDATE语句</td> 
  </tr> 
  <tr> 
   <td align="left">insertAllow</td> 
   <td align="left">true</td> 
   <td align="left">是否允许执行INSERT语句</td> 
  </tr> 
  <tr> 
   <td align="left">createTableAllow</td> 
   <td align="left">true</td> 
   <td align="left">是否允许创建表</td> 
  </tr> 
  <tr> 
   <td align="left">setAllow</td> 
   <td align="left">true</td> 
   <td align="left">是否允许使用SET语句</td> 
  </tr> 
  <tr> 
   <td align="left">alterTableAllow</td> 
   <td align="left">true</td> 
   <td align="left">是否允许执行Alter Table语句</td> 
  </tr> 
  <tr> 
   <td align="left">dropTableAllow</td> 
   <td align="left">true</td> 
   <td align="left">是否允许修改表</td> 
  </tr> 
  <tr> 
   <td align="left">commitAllow</td> 
   <td align="left">true</td> 
   <td align="left">是否允许执行commit操作</td> 
  </tr> 
  <tr> 
   <td align="left">rollbackAllow</td> 
   <td align="left">true</td> 
   <td align="left">是否允许执行roll back操作</td> 
  </tr> 
 </tbody> 
</table>

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NvbGRfX19wbGF5_size_16_color_FFFFFF_t_70]: /images/20210813/969023483895442a842122d9d4c63d01.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NvbGRfX19wbGF5_size_16_color_FFFFFF_t_70 1]: /images/20210813/2ad40ecb5347409bb54c1eab2fd7d368.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NvbGRfX19wbGF5_size_16_color_FFFFFF_t_70 2]: /images/20210813/4ab73548ecfe4655be9fcbd8043375c9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NvbGRfX19wbGF5_size_16_color_FFFFFF_t_70 3]: /images/20210813/5e98e2a74b874536949ac6d98be9832c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NvbGRfX19wbGF5_size_16_color_FFFFFF_t_70 4]: /images/20210813/a0d589ae6ff6443ab4ee27f44777e635.png