嵌入式Derby数据库认证授权配置无效：设置账号密码后仍可随意访问

我之前也踩过这个坑！嵌入式Derby默认是不开启强制用户认证的，所以你哪怕在连接URL里填了user和password，也只是给当前连接设置了个身份标签而已，数据库根本没在做权限校验——这就是为啥后续用任意密码都能连得上。下面给你说具体的解决步骤：

1. 必须在创建数据库时开启权限控制 #

要让密码验证真正生效，你得在首次创建数据库的连接URL里加上两个关键参数，开启内置认证并强制校验：

DriverManager.getConnection(
    "jdbc:derby:database;user=admin;password=1234;create=true;" +
    "authenticationProvider=BUILTIN;" +
    "derby.connection.requireAuthentication=true;"
);

这俩参数的作用：

• derby.connection.requireAuthentication=true：强制所有后续连接必须提供合法的用户凭证
• authenticationProvider=BUILTIN：启用Derby自带的用户认证机制，不用额外集成第三方服务

2. 给不同用户分配权限（可选但推荐） #

如果需要多用户权限管理，你可以用管理员用户（比如你创建的admin）执行SQL来添加新用户并授权：

-- 创建新用户，设置密码
CALL SYSCS_UTIL.SYSCS_SET_DATABASE_PROPERTY('derby.user.testuser', 'testpass123');

-- 授予该用户数据库的读写权限
GRANT ALL ON DATABASE TO testuser;

这些用户信息会存在数据库的属性配置里，只有管理员权限的用户才能修改。

3. 后续连接必须带正确凭证 #

开启权限控制后，再用错误密码连接就会直接抛出认证失败的SQL异常了，比如：

// 正常连接（凭证正确）
DriverManager.getConnection("jdbc:derby:database;user=admin;password=1234;");

// 错误密码会报错
DriverManager.getConnection("jdbc:derby:database;user=admin;password=wrongpass;");

重要提醒 #

• 如果是已经创建好的数据库，现在要开启认证，得先关闭所有数据库连接，然后用带上述参数的URL重新连接，数据库会自动更新配置
• 嵌入式Derby的用户是数据库级别的，每个独立的Derby数据库有自己的用户列表，互不影响

内容的提问来源于stack exchange，提问作者Wali