201509实验三数据库的安全性.doc
实验三：数据库的安全性 一、实验目的 熟悉通过SQL对数据进行安全性控制。二、实验平台 SQL Server 2019三、实验内容和要求1、掌握Windows登录名和SQL SERVER登录名的建立与删除方法；2、掌握数据库用户创建与管理的方法；3、掌握服务器角色的用法；4、掌握数据库权限授予、拒绝和撤销的方法；四、实验步骤（一）授权与回收。例1授权。在 SQL Sever 中建立多个用户，给他们赋予不同的权限，然后查看是否真正拥有被授予的权限了。1）建立用户 U1、U2、U3、U4、U5、U6、U7。2）以系统管理员身份对这7个用户进行授权。例 1-1把查询 Student 表的权限授给用户 U1。GRANT SELECTON StudentTO U1; 例 1-2把对 Student 表和 Course 表的全部操作权限授予用户 U2 和 U3。GRANT ALL PRIVILEGES ON StudentTO U2,U3;GRANT ALL PRIVILEGES ON Course TO U2,U3;例 1-3把对表 SC 的查询权限授予所有用户。GRANT SELECTON SCTO PUBLIC; 例 1-4把查询 Student 表和修改学生学号的权限授给用户 U4。GRANT UPDATE (Sno) , SELECTON StudentTO U4; 例 1-5把对表 SC 的 INSERT 权限授予 U5，并允许 U5 将此权限再授予其他用户。GRANT INSERT ON SCTO U5 WITH GRANT OPTION;例 1-6用户 U5 将对表 SC 的 INSERT 权限授予 U6,并允许将权限转授给其他用户。首先应该以 U5 的身份重新登录数据库，然后再进行授权。 GRANT INSERT ON SC TO U6 WITH GRANT OPTION;例 1-7用户 U6 将对表 SC 的 INSERT 权限授予 U7。首先应该以 U6 的身份重新登录数据库，然后再进行授权。GRANT INSERT ON SCTO U7; 3）在授权之后验证用户是否拥有了相应的权限。在执行完上面七个语句之后，我们可以分别以不同用户的身份登录数据库，进行相关操作，检查系统是否许可。例如：例 1-8U4 更新 Student 表的学生学号。UPDATE StudentSET SNO = 95101WHERE SNO = 95001;显示更新 1 条记录，即 U4 用户拥有了对 Student 表 Sno 的更新权限。例 1-9U7 向 SC 表中插入一条数据：（95020，20，88）。INSERT INTO SC VALUES(95020,20,88);显示插入 1 条记录，即用户 U7 拥有了对 SC 表的插入权限。例2回收权限。将例 1授予的权限部分收回，检查回收后，该用户是否真正丧失了对数据的相应权限。1）回收权限。例 2-1收回用户 U4 修改学生学号的权限。当前用户为 SYSTEM，直接执行下列语句：REVOKE UPDATE (SNO) ON StudentFROM U4;例 2-2收回所有用户对表 SC 的查询权限。REVOKE SELECTON SCFROM PUBLIC;例 2-3收回用户 U5 对 SC 表的 INSERT 权限。将权限 INSERT 授予给用户 U5 时，允许该用户将权限再授予给其他用户；之后，用户U5 将 INSERT 权限转授给了 U6，U6 又将权限转授给 U7。因此，将用户 U5 的 INSERT 权限收回的时候必须级联收回，不然系统将拒绝执行该命令： REVOKE INSERT ON TABLE SC FROM U5 CASCADE;执行该命令之后，U6 从 U5 处获得的权限也将被收回，U7 从 U6 处获得的权限也将同时被收回。2）在回收权限之后验证用户是否真正丧失了该权限。例 2-4用户 U3 查询表 SC。首先用户 U3 重新登录数据库 TEST。执行命令：SELECT *FROM SC;执行失败，该用户不拥有此权限。证实用户 U3 丧失了对表 SC 查询的权限。例 2-5用户 U6 向表 SC 中插入一条记录(95035,3,92)。首先用户 U6 重新登录数据库 TEST。执行命令：INSERT INTO SC VALUES(95035,3,92);执行失败，该用户不拥有此权限。证实用户 U6 丧失了从用户 U5 处获得的对表 SC 插入的权限。（二）数据库角色。例 3角色的创建与授权。例 3-1创建角色 G1。CREATE ROLE G1;例 3-2给角色授权，使得角色 G1 拥有对 Student 表的 SELECT、UPDATE、INSERT 的权限。GRANT SELETE,UPDATE,INSERTON STUDENTTO G1;例 3-3将用户 U1,U3,U7 添加到角色 G1 中来。EXEC sp_addrolemember G1,u1EXEC sp_addrolemember G1,u2EXEC sp_addrolemember G1,u3将 U1,U3,U7 添加到角色 G1 中之后，U1,U3,U7 就拥有了 G1 拥有的所有权限，即对Student 表的 SELECT、UPDATE、INSERT 的权限。例 3-4对角色 G1 的权限进行修改，增加对 Student 表的 DELETE 权限，并回收对 Student表的 INSERT 权限。GRANT DELETEON STUDENTTO G1；REVOKE INSERTON STUDENTFROM G1;例 3-5删除角色 G1。DROP ROLE G1; 五、 实验任务 利用实验二建立的students数据库和其中的student、course、sc表，完成下列操作：1、建立SQL Server身份验证模式的登录账户：log1、log2和log3；（命令方式创建）CREATE LOGIN log1 WITHPASSWORD='821742'GOCREATE LOGIN log2 WITHPASSWORD='821742'GOCREATE LOGIN log3 WITHPASSWORD='821742'GO2、 用log1新建一个数据库引擎查询，这时在“可用数据库”下列列表框中是否能选中students数据库？为什么？3、 将log1、log2和log3映射为students数据库中的用户，用户名同登录名；（命令方式创建）USE students GO CREATE USER log1FOR LOGIN log1USE students GO CREATE USER log2FOR LOGIN log2USE students GO CREATE USER log3FOR LOGIN log34、 在log1建立的数据库引擎查询中，在“可用数据库”下列列表框中选中students数据库，是否成功？为什么？能，因为授予了权限。5、在log1建立的数据库引擎查询中，执行下述语句，能否成功？为什么？ select * from course不能，因为Log1所在的数据库没有赋予查询权限。6、 授予log1具有course表的查询权限，授予log2具有course表的插入权限；7、用log2建立一个数据库引擎查询，然后执行下述两条语句，能否成功？为什么？ Insert into course values(c101,java,2,3) Insert into course values(c102,操作系统,4,4)能，因为Log2赋予了插入权限。再次执行下述语句，能否成功？为什么？ select * from course不能，因为log2只有插入的权限，没有查询权限。8、 在log1建立的数据库引擎查询中，再次执行下述语句： select * from course这次能否成功？为什么？能，因为log1赋予的是查询功能。让log1执行下述语句，能否成功？为什么？ Insert into course values('c103','软件工程',4,6)不能，因为Log1所在的数据库没有赋予查询权限。9、 在students数据库中建立用户角色：role1，并将log1和log2添加到此角色中。10、 授予role1角色具有course表的插入、删除和查询权限；11、 在log1建立的数据库引擎查询中，再次执行下述语句，能否成功？为什么？ Insert into course values(c103,软件工程,4,6)不能，因为Log1所在的数据库没有赋予查询权限。12、 在log2建立的数据库引擎查询中，再次执行下述语句，能否成功？为什么？ select * from course不能，因为Log2所在的数据库没有赋予查询权限。13、 用log3建立一个数据库引擎查询，并执行下述语句，能否成功？为什么？ select * from course不能，因为Log3所在的数据库没有赋予查询权限。14、 将log3添加到db_datareader角色中，并在log3建立的数据库引擎查询中再次执行下述语句，能否成功？为什么？ select * from course15、 在log3建立的数据库引擎查询中，执行下述语句，能否成功？为什么？ Insert into course values(c104,C语言,3,1)不能，因为Log3所在的db_datareader角色中没有赋予查询权限。16、 在students数据库中，授予public角色具有course表的查询和插入权限；17、 在log3建立的数据库引擎查询中，再次执行下述语句，能否成功？为什么？ Insert into course values(c104,C语言,3,1)能，因为log3所属的public角色被赋予了插入权限。第 10 页
