防火墙组配置文件表

防火墙帐户配置文件表

NAME

组配置文件名称。

MODE

配置文件的当前操作模式。允许的模式值为 OFF、DETECTING、PROTECTING 和 RECORDING。有关其含义的详细信息，请参阅 防火墙概念。

USERHOST

组配置文件的训练帐户，在配置文件处于 RECORDING 模式时使用。该值为 NULL 或格式为 user_name@host_name 的非 NULL 帐户。

NAME

组配置文件名称。

RULE

一个规范化的语句，指示配置文件可接受的语句模式。配置文件允许列表是其规则的并集。

ID

一个整数列，它是该表的主键。

GROUP_ID

组配置文件名称。

MEMBER_ID

作为配置文件成员的帐户的名称。

USERHOST

帐户配置文件名称。每个帐户名称的格式为 user_name@host_name。

MODE

配置文件的当前操作模式。允许的模式值为 OFF、DETECTING、PROTECTING、RECORDING 和 RESET。有关其含义的详细信息，请参阅防火墙概念。

USERHOST

帐户配置文件名称。每个帐户名称的格式为 user_name@host_name。

RULE

一个规范化的语句，指示配置文件可接受的语句模式。配置文件允许列表是其规则的并集。

ID

一个整数列，它是该表的主键。

防火墙组配置文件存储程序

防火墙帐户配置文件存储程序

防火墙杂项存储程序

sp_firewall_group_delist(group, user)

此存储程序从防火墙组配置文件中删除一个帐户。

如果调用成功，则会将组成员身份的更改应用于内存缓存和持久存储。

参数

示例

CALL mysql.sp_firewall_group_delist('g', 'fwuser@localhost');

sp_firewall_group_enlist(group, user)

此存储程序将一个帐户添加到防火墙组配置文件中。在将帐户添加到组之前，无需在防火墙中注册该帐户本身。

如果调用成功，则会将组成员身份的更改应用于内存缓存和持久存储。

参数

示例

CALL mysql.sp_firewall_group_enlist('g', 'fwuser@localhost');

sp_reload_firewall_group_rules(group)

此存储程序为各个组配置文件提供对防火墙操作的控制。该程序使用防火墙管理函数从存储在 firewall-database.firewall_group_allowlist 表中的规则重新加载组配置文件的内存规则。

参数

示例

CALL mysql.sp_reload_firewall_group_rules('myapp');

sp_set_firewall_group_mode(group, mode)

此存储程序为防火墙组配置文件建立操作模式，如果该配置文件尚未注册，则先在防火墙中注册该配置文件。该程序还会根据需要调用防火墙管理函数，以便在缓存和持久存储之间传输防火墙数据。即使 mysql_firewall_mode 系统变量为 OFF，也可以调用此程序，但在启用防火墙之前，设置配置文件的模式不会产生任何操作效果。

如果配置文件先前已存在，则其任何记录限制都保持不变。要设置或清除限制，请改用 sp_set_firewall_group_mode_and_user()。

参数

示例

CALL mysql.sp_set_firewall_group_mode('myapp', 'PROTECTING');

sp_set_firewall_group_mode_and_user(group, mode, user)

此存储程序在防火墙中注册一个组并建立其操作模式，类似于 sp_set_firewall_group_mode()，但还会指定当组处于 RECORDING 模式时要使用的训练帐户。

参数

示例

CALL mysql.sp_set_firewall_group_mode_and_user('myapp', 'RECORDING', 'myapp_user1@localhost');

sp_reload_firewall_rules(user)

此存储程序为各个帐户配置文件提供对防火墙操作的控制。该程序使用防火墙管理函数从存储在 firewall-database.firewall_whitelist 表中的规则重新加载帐户配置文件的内存规则。

参数

示例

CALL sp_reload_firewall_rules('fwuser@localhost');

此程序已被弃用，并将在未来的 MySQL 版本中被删除。请参阅将帐户配置文件迁移到组配置文件。

sp_set_firewall_mode(user, mode)

此存储程序为防火墙帐户配置文件建立操作模式，如果该配置文件尚未注册，则先在防火墙中注册该配置文件。该程序还会根据需要调用防火墙管理函数，以便在缓存和持久存储之间传输防火墙数据。即使 mysql_firewall_mode 系统变量为 OFF，也可以调用此程序，但在启用防火墙之前，设置配置文件的模式不会产生任何操作效果。

参数

将帐户配置文件切换到 RECORDING 以外的任何模式都会将其防火墙缓存数据同步到提供持久底层存储（mysql 或自定义）的防火墙数据库表。将模式从 OFF 切换到 RECORDING 会将白名单从 firewall-database.firewall_whitelist 表重新加载到缓存中。

如果帐户配置文件具有空白名单，则其模式不能设置为 PROTECTING，因为该配置文件将拒绝每条语句，从而有效地禁止该帐户执行语句。为了应对这种模式设置尝试，防火墙会生成一条诊断消息，该消息作为结果集返回，而不是作为 SQL 错误返回：

mysql> CALL sp_set_firewall_mode('a@b','PROTECTING');
+----------------------------------------------------------------------+
| set_firewall_mode(arg_userhost, arg_mode)                            |
+----------------------------------------------------------------------+
| ERROR: PROTECTING mode requested for a@b but the allowlist is empty. |
+----------------------------------------------------------------------+

此程序已被弃用，并将在未来的 MySQL 版本中被删除。请参阅将帐户配置文件迁移到组配置文件。

sp_migrate_firewall_user_to_group(user, group)

sp_migrate_firewall_user_to_group() 存储程序将防火墙帐户配置文件转换为组配置文件，并将该帐户作为其唯一注册成员。运行 firewall_profile_migration.sql 脚本来安装它。转换过程在将帐户配置文件迁移到组配置文件中讨论。

此例程需要 FIREWALL_ADMIN 权限。

参数

示例

CALL sp_migrate_firewall_user_to_group('fwuser@localhost', 'mygroup);

防火墙组配置文件函数

防火墙帐户配置文件函数

防火墙杂项函数

firewall_group_delist(group, user)

此函数从组配置文件中删除一个帐户。它需要 FIREWALL_ADMIN 权限。

示例

SELECT firewall_group_delist('g', 'fwuser@localhost');

firewall_group_enlist(group, user)

此函数将一个帐户添加到组配置文件中。它需要 FIREWALL_ADMIN 权限。

在将帐户添加到组之前，无需在防火墙中注册该帐户本身。

示例

SELECT firewall_group_enlist('g', 'fwuser@localhost');

read_firewall_group_allowlist(group, rule)

此聚合函数通过在 firewall-database.firewall_group_allowlist 表上执行 SELECT 语句来更新命名组配置文件的已记录语句缓存。它需要 FIREWALL_ADMIN 权限。

示例

SELECT read_firewall_group_allowlist('my_fw_group', fgw.rule)
FROM mysql.firewall_group_allowlist AS fgw
WHERE NAME = 'my_fw_group';

read_firewall_groups(group, mode, user)

此聚合函数通过在 firewall-database.firewall_groups 表上执行 SELECT 语句来更新防火墙组配置文件缓存。它需要 FIREWALL_ADMIN 权限。

示例

SELECT read_firewall_groups('g', 'RECORDING', 'fwuser@localhost')
FROM mysql.firewall_groups;

set_firewall_group_mode(group, mode[, user])

此函数管理组配置文件缓存，建立配置文件操作模式，并可选择指定配置文件训练帐户。它需要 FIREWALL_ADMIN 权限。

如果未给出可选的 user 参数，则该配置文件的任何先前 user 设置都将保持不变。要更改设置，请使用第三个参数调用该函数。

如果给出了可选的 user 参数，则它指定组配置文件的训练帐户，当配置文件处于 RECORDING 模式时使用。该值为 NULL，或者是一个格式为 user_name@host_name 的非 NULL 帐户。

示例

SELECT set_firewall_group_mode('g', 'DETECTING');

read_firewall_users(user, mode)

此聚合函数通过在 firewall-database.firewall_users 表上执行 SELECT 语句来更新防火墙帐户配置文件缓存。它需要 FIREWALL_ADMIN 权限或已弃用的 SUPER 权限。

示例

SELECT read_firewall_users('fwuser@localhost', 'RECORDING')
FROM mysql.firewall_users;

此函数已弃用，并将在未来的 MySQL 版本中删除。请参阅 将帐户配置文件迁移到组配置文件。

read_firewall_whitelist(user, rule)

此聚合函数通过在 firewall-database.firewall_whitelist 表上执行 SELECT 语句来更新命名帐户配置文件的已记录语句缓存。它需要 FIREWALL_ADMIN 权限或已弃用的 SUPER 权限。

示例

SELECT read_firewall_whitelist('fwuser@localhost', fw.rule)
FROM mysql.firewall_whitelist AS fw
WHERE USERHOST = 'fwuser@localhost';

此函数已弃用，并将在未来的 MySQL 版本中删除。请参阅 将帐户配置文件迁移到组配置文件。

set_firewall_mode(user, mode)

此函数管理帐户配置文件缓存并建立配置文件操作模式。它需要 FIREWALL_ADMIN 权限或已弃用的 SUPER 权限。

示例

SELECT set_firewall_mode('fwuser@localhost', 'RECORDING');

此函数已弃用，并将在未来的 MySQL 版本中删除。请参阅 将帐户配置文件迁移到组配置文件。

mysql_firewall_flush_status()

此函数将多个防火墙状态变量重置为 0。

此函数需要 FIREWALL_ADMIN 权限或已弃用的 SUPER 权限。

示例

SELECT mysql_firewall_flush_status();

normalize_statement(stmt)

此函数将 SQL 语句规范化为用于白名单规则的摘要形式。它需要 FIREWALL_ADMIN 权限或已弃用的 SUPER 权限。

示例

SELECT normalize_statement('SELECT * FROM t1 WHERE c1 > 2');

mysql_firewall_database

指定 MySQL 企业版防火墙从中读取数据的数据库。通常，MYSQL_FIREWALL 服务器端插件将其内部数据（表、存储过程和函数）存储在 mysql 系统数据库中，但您可以创建和使用自定义架构来代替（请参阅 安装 MySQL 企业版防火墙）。此变量允许在启动时指定备用数据库名称。

mysql_firewall_mode

MySQL 企业版防火墙是启用（默认）还是禁用。

mysql_firewall_reload_interval_seconds

指定服务器端插件用于从防火墙表重新加载其内部缓存的时间间隔（以秒为单位）。当 mysql_firewall_reload_interval_seconds 的值为零（默认值）时，在运行时不会定期从表中重新加载数据。插件不识别介于 0 和 60（1 到 59）之间的值。相反，这些值会自动调整为 60。

此变量要求启用 scheduler 组件（ON）。有关更多信息，请参阅 安排防火墙缓存重新加载。

mysql_firewall_trace

MySQL 企业版防火墙跟踪是启用还是禁用（默认）。当启用 mysql_firewall_trace 时，对于 PROTECTING 模式，防火墙会将被拒绝的语句写入错误日志。

Firewall_access_denied

被 MySQL 企业版防火墙拒绝的语句数。

Firewall_access_granted

被 MySQL 企业版防火墙接受的语句数。

Firewall_access_suspicious

MySQL 企业版防火墙为处于 DETECTING 模式的用户记录为可疑语句的数量。

Firewall_cached_entries

MySQL 企业版防火墙记录的语句数，包括重复语句。