多部门MySQL连接配置、权限管控及行级安全技术咨询

针对你的三个MySQL技术问题，解决方案如下： #

问题1：让营销部所有用户使用同一连接字符串（MySQL层面） #

• 创建统一的营销部专用MySQL账号，所有Java客户端共用该账号的连接字符串：

  CREATE USER 'marketing_app'@'%' IDENTIFIED BY 'your_strong_password';
  

  其中%允许从任意地址连接，若需限制访问IP，可替换为具体IP段（如'192.168.1.%'）。
• 调整MySQL连接数参数，确保支撑至少100并发在线：
  修改my.cnf（或my.ini）配置文件：

  max_connections = 200  # 数值需大于100+生产部连接数+其他系统连接数
  wait_timeout = 3600    # 避免闲置连接被过早回收，可根据业务调整
  interactive_timeout = 3600
  

  修改后重启MySQL生效，也可通过动态命令临时生效：

  SET GLOBAL max_connections = 200;
  SET GLOBAL wait_timeout = 3600;
  

• 注意：该账号权限需严格控制（参考问题2的权限设置），避免过度授权。

问题2：禁止跨部门访问表 #

利用MySQL权限系统实现表级访问隔离：

• 给营销部账号仅授予Marketing表的操作权限：

  -- 授予Marketing表增删改查权限
  GRANT SELECT, INSERT, UPDATE, DELETE ON your_database.Marketing TO 'marketing_app'@'%';
  -- 回收所有默认全局权限（若存在）
  REVOKE ALL PRIVILEGES, GRANT OPTION FROM 'marketing_app'@'%';
  

• 给生产部账号仅授予Factory表的操作权限：

  CREATE USER 'factory_app'@'%' IDENTIFIED BY 'your_strong_password';
  GRANT SELECT, INSERT, UPDATE, DELETE ON your_database.Factory TO 'factory_app'@'%';
  REVOKE ALL PRIVILEGES, GRANT OPTION FROM 'factory_app'@'%';
  

• 验证权限：用对应账号登录后执行SHOW GRANTS;查看权限，或尝试访问对方表，若权限配置正确会返回SELECT command denied类错误。

问题3：营销部用户仅能编辑自身记录 #

需结合表结构（假设Marketing表含user_id字段存储记录归属用户ID），分版本实现：

方案1：MySQL 8.0.16+ 行级安全策略（RLS） #

1. 开启表的行级安全：

   ALTER TABLE your_database.Marketing ENABLE ROW LEVEL SECURITY;
   

2. 创建行级安全策略：
   需Java客户端连接后先设置会话变量（如SET @current_user_id = 'user_xxx';），再创建策略：

   CREATE POLICY marketing_self_access ON your_database.Marketing
   FOR ALL
   USING (user_id = @current_user_id)
   WITH CHECK (user_id = @current_user_id);
   

   • USING子句控制可查询/删除的行
   • WITH CHECK子句控制可插入/更新的行（确保操作的记录归属当前用户）

方案2：旧版本MySQL（无RLS）：视图+会话变量 #

1. 创建仅显示当前用户记录的视图：

   CREATE VIEW marketing_self_view AS
   SELECT * FROM your_database.Marketing
   WHERE user_id = @current_user_id;
   

2. 调整营销部账号权限：

   REVOKE ALL ON your_database.Marketing FROM 'marketing_app'@'%';
   GRANT SELECT, INSERT, UPDATE, DELETE ON your_database.marketing_self_view TO 'marketing_app'@'%';
   

3. 要求Java客户端连接后必须先设置@current_user_id变量，否则视图返回空数据。

注意：若仅支持部门级认证、无用户级标识，需先在Marketing表添加用户关联字段，否则无法实现严格的自身记录隔离。

内容的提问来源于stack exchange，提问作者user3833732