mysql权限最⼩化规则_Windows服务器下权限最⼩化原则的思
考
我在安装⽹站程序的过程中，遇到了⼀些⽂件和⽂件夹权限设置的问题，
下⾯记录下我的⼀些经验和收集的权限的四个特性，及权限管理的四个原则
MySQL，MSSQL，程序⽂件夹 的权限最⼩化，降权处理。
⼀般情况下，将数据库服务安装到⾮系统盘，删除其他权限，只保留System和Administrators权限，
为MySQL设置独⽴账户，MSSQL安装过程中选择低权限的内置账户(例如network services)达到降权的⽬的，
程序⽂件夹同样设置独⽴账户匿名登陆。mysql下载下来是一个文件夹
权限管理的四个特性和四个原则：
四个特性： 继承性、累加性、优先性、交叉性
继承性是说下级的⽬录在没有经过重新设置之前，是拥有上⼀级⽬录权限设置的。
这⾥还有⼀种情况要说明⼀下，在分区内复制⽬录或⽂件的时候，复制过去的⽬录和⽂件将拥有它现在所处位置的上⼀级⽬录权限设置。
但在分区内移动⽬录或⽂件的时候，移动过去的⽬录和⽂件将拥有它原先的权限设置。
累加性是说如⼀个组GROUP1中有两个⽤户USER1、USER2，他们同时对某⽂件或⽬录的访问权限分别为“读取”和“写⼊”，
那么组GROUP1对该⽂件或⽬录的访问权限就为USER1和USER2的访问权限之和，实际上是取其最⼤的那个，即“读取”+“写
⼊”=“写⼊”。
⼜如⼀个⽤户USER1同属于组GROUP1和GROUP2，⽽GROUP1对某⼀⽂件或⽬录的访问权限为“只读”型的，⽽GROUP2对这⼀⽂件或⽂件夹的访问权限为“完全控制”型的，
则⽤户USER1对该⽂件或⽂件夹的访问权限为两个组权限累加所得，即：“只读”+“完全控制”=“完全控制”。
优先性，权限的这⼀特性⼜包含两种⼦特性，其⼀是⽂件的访问权限优先⽬录的权限，也就是说⽂件
权限可以越过⽬录的权限，不顾上⼀级⽂件夹的设置。另⼀特性就是“拒绝”权限优先其它权限，也就是说“拒绝”权限可以越过其它所有其它权限，⼀旦选择了“拒绝”权限，则其它权限也就不能取任何作⽤，相当于没有设置。
交叉性是指当同⼀⽂件夹在为某⼀⽤户设置了共享权限的同时⼜为⽤户设置了该⽂件夹的访问权限，且所设权限不⼀致时，它的取舍原则是取两个权限的交集，也即最严格、最⼩的那种权限。如⽬录A为⽤户USER1设置的共享权限为“只读”，同时⽬录A为⽤户USER1设置的访问权限为“完全控制”，那⽤户USER1的最终访问权限为“只读”。
四个原则：拒绝优于允许原则、权限最⼩化原则、累加原则和权限继承性原则
拒绝优于允许原则
" 拒绝优于允许"原则是⼀条⾮常重要且基础性的原则，它可以⾮常完美地处理好因⽤户在⽤户组的归属⽅⾯引起的权限"纠纷"，例如，"shyzhong"这个⽤户既属于"shyzhongs"⽤户组，也属于"xhxs"⽤户组，当我们对"xhxs"组中某个资源进⾏"写⼊"权限的集中分配(即针对⽤户组进⾏) 时，这个时候该组中 "shyzhong"账户将⾃动拥有"写⼊"的权限。
但令⼈奇怪的是，"shyzhong"账户明明拥有对这个资源的"写⼊ "权限，为什么实际操作中却⽆法执⾏
呢？原来，在"shyzhongs"组中同样也对"shyzhong"⽤户进⾏了针对这个资源的权限设置，但设置的权限是"拒绝写⼊"。基于"拒绝优于允许"的原则，"shyzhong"在"shyzhongs"组中被 "拒绝写⼊"的权限将优先"xhxs"组中被赋予的允许"写⼊"权限被执⾏。因此，在实际操作中，"shyzhong"⽤户⽆法对这个资源进⾏"写⼊"操作。
权限最⼩化原则
Windows XP将"保持⽤户最⼩的权限"作为⼀个基本原则进⾏执⾏，这⼀点是⾮常有必要的。这条原则可以确保资源得到最⼤的安全保障。这条原则可以尽量让⽤户不能访问或不必要访问的资源得到有效的权限赋予限制。
基于这条原则，在实际的权限赋予操作中，我们就必须为资源明确赋予允许或拒绝操作的权限。例如系统中新建的受限⽤户"shyzhong"在默认状态下对 "DOC"⽬录是没有任何权限的，现在需要为这个⽤户赋予对"DOC"⽬录有"读取"的权限，那么就必须在"DOC"⽬录的权限列表中为 "shyzhong"⽤户添加"读取"权限。
权限继承性原则
权限继承性原则可以让资源的权限设置变得更加简单。假设现在有个"DOC"⽬录，在这个⽬录中有"D
OC01"、"DOC02"、"DOC03"等⼦⽬录，现在需要对DOC⽬录及其下的⼦⽬录均设置 "shyzhong"⽤户有"写⼊"权限。因为有继承性原则，所以只需对"DOC"⽬录设置"shyzhong"⽤户有"写⼊"权限，其下的所有⼦⽬录将⾃动继承这个权限的设置。
累加原则
这个原则⽐较好理解，假设现在"zhong"⽤户既属于"A"⽤户组，也属于"B"⽤户组，它在A⽤户组的权限是"读取"，在"B"⽤户组中的权限是"写⼊"，那么根据累加原则，"zhong"⽤户的实际权限将会是"读取+写⼊"两种。
显然，"拒绝优于允许"原则是⽤于解决权限设置上的冲突问题的；"权限最⼩化"原则是⽤于保障资源安全的；"权限继承性"原则是⽤于"⾃动化"执⾏权限设置的；⽽"累加原则"则是让权限的设置更加灵活多变。⼏个原则各有所⽤，缺少哪⼀项都会给权限的设置带来很多⿇烦！
权限继承性原则
权限继承性原则可以让资源的权限设置变得更加简单。假设现在有个"DOC"⽬录，在这个⽬录中有"DOC01"、"DOC02"、"DOC03"等⼦⽬录，现在需要对DOC⽬录及其下的⼦⽬录均设置 "shyzhong"⽤户有"写⼊"权限。因为有继承性原则，所以只需对"DOC"⽬录设置"shyzhong"⽤户有"写⼊"权限，其下的所有⼦⽬录将⾃动继承这个权限的设置。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。