0

Estoy intentando crear un procedimiento almacenado para otorgar permisos específicos a un usuario en mi base de datos.

He visto algunas respuestas pero todas lo hacen con la palabra ALL (Dan todos los permisos) pero yo quiero otorgar permisos específicos (Solo vista, solo edición, solo eliminación, etc).

Estoy trabajando con MySQL Workbench.

CREATE PROCEDURE ST_PERMISOS(IN var_permisos varchar(40), IN var_db varchar(45), IN var_tbl varchar(45), IN var_usuario varchar(40))
BEGIN
   SET @permisos = CONCAT("GRANT ","'",var_permisos,"'"," ON ","'",var_db,"'",".","'",var_tbl,"'"," TO ","'",var_usuario,"'","@'localhost'");
  
  PREPARE stmt FROM @permisos;
  EXECUTE stmt;
  DEAllOCATE PREPARE stmt;
END 


CALL ST_PERMISOS("SELECT,UPDATE","usuarios","admin_user","sperezpo");

Cuando ejecuto este Query me dice que tengo un error de sintaxis pero no he podido identificarlo ya que hice de esta misma manera el Stored Procedure para crear un usuario y funcionó pero no funciona para asignar roles.

1
  • Agrega el mensaje de error
    – user128299
    el 25 mar. 2021 a las 19:30

1 respuesta 1

0

El delimitador de sentencias por defecto de MySql es el punto y coma (;), cada sentencia que termina con punto y como se ejecuta por separado. Cuando escribís procedimientos tenés que cambiar temporalmente el separador de sentencias (DELIMITER) para que trate todo el procedimiento como una unidad.

Cuando concatenas la sentencia GRANT, entrecomillaste (con comillas simples) los parámetros: var_permisos (lista de palabras reservadas), var_db (nombre de la base de datos) y var_tbl (nombre de la tabla); por lo que no van entrecomilladas, no son cadenas.

De esta forma funciona:

DELIMITER //

CREATE PROCEDURE ST_PERMISOS(IN var_permisos varchar(40), IN var_db varchar(45), IN var_tbl varchar(45), IN var_usuario varchar(40))
BEGIN

  SET @permisos = CONCAT("GRANT ", var_permisos, " ON  ", var_db, ".", var_tbl, " TO '", var_usuario, "'@'localhost'");
  
  PREPARE stmt FROM @permisos;
  EXECUTE stmt;
  DEALLOCATE PREPARE stmt;
  
END //

DELIMITER ;

Para ejecutar el procedimiento:

CALL ST_PERMISOS("SELECT,UPDATE", "usuarios", "admin_user", "sperezpo");

Siempre es recomendable utilizar Prepared statments con marcadores (placeholders: ?) para los parámetros que representan valores, en lugar de queries normales (planas), principalmente por cuestiones de seguridad (para prevenir SQL Injection), aunque tiene otra ventaja: si la query se ejecuta varias veces parsea la misma una sola vez y no cada vez que se ejecuta (mayor rapidez). Aunque en este caso no aplica ya que los parámetros son palabras reservadas, el nombre de la base de datos y el nombre de la tabla (o el objeto sobre el que se aplican los permisos); y no datos (los marcadores tampoco pueden ir entrecomillados).

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.