網上單獨關於MySQL使用者許可權或者儲存過程的文章有不少，但是關於在儲存過程中如何書寫使用者授權語句，尤其是批量授權的資料卻很少。

為什麼筆者會遇到在儲存過程中書寫批量使用者授權語句的需求，是因為筆者在日常開發中承擔了一部分簡單的運維職責（筆者還是很贊同開發兼運維的思想），其中就包括在公司內部機器中搭建MySQL服務。

搭建MySQL服務有一項內容就是配好使用者和許可權管理。筆者不是專職的資料庫運維，在此就舉個自認為還算形象的例子：比如MySQL中會有系統庫（MySQL自帶的，比如mysql、performance_schema等）、測試庫和正式庫，那麼我們可能會劃分出三類MySQL賬號：（1）program賬號：程式用的賬號，能夠對正式或測試庫crud，對系統庫的部分表有select許可權；（2）query賬號：開發者用的賬號，對正式庫或者測試庫都只有select許可權，對系統庫的部分表有select許可權。（3）alpha賬號：開發者用的測試賬號，對測試庫有root許可權（all privileges），對正式庫只有select的許可權，對系統庫的部分表有select許可權。

那麼對於program、query和alpha賬號（以及將來要增加的其他賬號），都會有個共同的需求：指定系統庫的部分表授予select許可權。而這些表的數量不算少，如果每增加一個賬號，就要把所有授權語句依照賬號改一邊再執行一遍，顯得有點麻煩，不如寫個儲存過程，輸入使用者賬號資訊，然後就能把固定需要授予select的許可權語句都執行一遍。

使用者授權語句類似於：

GRANT SELECT ON `mysql`.`time_zone` TO 'query'@'%';

在儲存過程中書寫多個使用者授權語句類似於：

DELIMITER //
CREATE PROCEDURE grantProc()
  BEGIN
    GRANT SELECT ON `performance_schema`.* TO 'query'@'%';
    GRANT SELECT ON `mysql`.`time_zone` TO 'query'@'%';
    GRANT SELECT ON `mysql`.`slow_log` TO 'query'@'%';
    FLUSH PRIVILEGES;
  END
//
DELIMITER ;
CALL grantProc();
DROP PROCEDURE grantProc;
 

至於儲存過程和授權語句寫法的具體細節大家可以搜尋其他資料，不是本文重點。

可以看到[email protected]部分是重複的，如果能通過儲存過程入參輸入user和host資訊，就不用每次新增賬號都把儲存過程的語句改一遍了。

這裡麻煩的一點是MySQL的授權語句grant to後面的user和host都是要帶單引號的字串（尤其是host部分，user不帶單引號，用字串也是可以的，至少筆者最後可以通過）。

筆者試過幾次，無論是直接傳user和host的字串還是傳入帶轉義單引號的字串，執行時MySQL都報“Error : Can't find any matching row in the user table”錯誤，就是說從mysql.user表裡找不到該host下的user使用者。本質上還是傳參無法直接在grant sql中使用。如下所示：

-- 直接輸入字串
DELIMITER //
CREATE PROCEDURE grantProc(IN inUser varchar(255), IN inHost varchar(255))
  BEGIN
    GRANT SELECT ON `mysql`.`time_zone` TO [email protected];
    FLUSH PRIVILEGES;
  END
//
DELIMITER ;
CALL grantProc('query', '%'); 
DROP PROCEDURE grantProc;

-- 輸入帶轉義單引號字串
DELIMITER //
CREATE PROCEDURE grantProc(IN inUser varchar(255), IN inHost varchar(255))
  BEGIN
    GRANT SELECT ON `mysql`.`time_zone` TO [email protected];
    FLUSH PRIVILEGES;
  END
//
DELIMITER ;
CALL grantProc('\'query\'', '\'%\''); 
DROP PROCEDURE grantProc;

而如果使用concat直接在grant sql中拼接單引號會報語法錯誤，如下所示：

DELIMITER //
CREATE PROCEDURE grantProc(IN inUser varchar(255), IN inHost varchar(255))
  BEGIN
    GRANT SELECT ON `performance_schema`.* TO concat('\'', inUser, '\'')@concat('\'', inHost, '\'');
    FLUSH PRIVILEGES;

  END
//
DELIMITER ;
CALL grantProc('query', '%');
DROP PROCEDURE grantProc;

後來筆者試了用concat拼接的動態SQL配合預編譯和execute才達到目的。直接上最終的儲存過程程式碼（包含了常用的系統庫select許可權授予）：

DELIMITER //
CREATE PROCEDURE grantProc(IN inUser varchar(255), IN inHost varchar(255))
  BEGIN
    set @v_user = concat(inUser,'@\'',inHost,'\'');

    set @grand_s= concat('GRANT SELECT ON `performance_schema`.* TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`time_zone` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`slow_log` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`help_keyword` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`time_zone_name` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`event` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`time_zone_transition_type` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`help_relation` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`func` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`proc` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`time_zone_leap_second` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`help_category` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`time_zone_transition` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`general_log` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    set @grand_s= concat('GRANT SELECT ON `mysql`.`help_topic` TO ', @v_user, ';');
    prepare cmd from @grand_s;
    EXECUTE cmd;

    FLUSH PRIVILEGES;

  END
//
DELIMITER ;
CALL grantProc('query', '%');
DROP PROCEDURE grantProc;

有幾點說明：

（1）set， prepare和execute語句重複了很多次，其實可以再寫儲存過程或者函式簡化，只是筆者不願意在這上面再花時間了。目前開發趨勢已經很少用儲存過程了，MySQL這種應該只用於存粹的資料儲存，不負擔任何邏輯才是正道，所以在儲存過程上花時間沒必要。筆者寫這篇文章也只是作為一種筆記。

（2）語句

concat(inUser,'@\'',inHost,'\'');

意思是拼接成[email protected]'%'的字串。user沒有用單引號拼接，最後也能執行成功，但是host如果不加單引號會包語法錯誤。sql中轉義用的是反斜槓\。

（3）授權語句執行完畢後想要生效最後必須加上：FLUSH PRIVILEGES。

（4）儲存過程現在已經不常用了，執行完畢 最後drop掉吧，免得留坑。