[PHP/MySql] Alleen select mogelijk?

[Verwijderd]

Ik ben bezig met een exporteer-scriptje, via een formulier word oa. een query naar het script gestuurd, wat vervolgens de query uitvoert en de resultaten in een csv bestand zet dat gedownload kan worden.

Werkt allemaal prima, geen probleem.... nu de vraag:
Is het mogelijk om de database read-only te openen? Ik wil nl. niet dat iemand een INSERT of DELETE query naar het script kan sturen. Ik kan natuurlijk ook via reguliere expressies de query gaan uitlezen, maar is er geen makkelijkere manier?

[Y0ur1]

Ja gewoon een mysql user aanmaken die alleen SELECT rechten heeft om een database, niet zo moeilijk toch?

[drm]

Lees dit eens door:
http://dev.mysql.com/doc/mysql/en/Privilege_system.html

Ik weet niet of dat tot je mogelijkheden behoort, want je moet dan wel rechten uit kunnen delen met je mysql user, maar het is wel goed om te weten hoe dat in elkaar steekt.

[GambitRS]

elke login/password waarmee je op een mySQL database kan inloggen heeft zijn eigen bevoegdheden, dus kan je gemakkelijk een nieuwe login maken die alleen het recht heeft om select te gebruiken.

[Verwijderd]

ok, thanx voor de snelle reacties!
Ik begrijp dus dat het niet mogelijk is om in php rechten aan te passen voor de op dat moment lopende connectie...

Helaas kan ik wel users aanmaken voor de db, alleen geen rechten toekennen aan die users. Maar ik ga wel even bij m'n provider vragen of dat aangepast kan worden dan.

[Verwijderd]

als ik het goed begrijp komen al je queries uit een formulier? dan zou je die queries kunnen checken op statements die je niet wilt toestaan voordat je de query aan je script doorgeeft

[OkkE]

Ik zou inderdaad als eerste eens vragen aan je hosting provider of je een MySQL user kunt krijgen met alleen SELECT rechten. Is dat niet mogelijk dan kan je natuurlijk altijd nog via PHP de query's kunnen checken op UPDATE en DELETE enzo.

[Grijze Vos]

Een database-abstractie klasse is natuurlijk een oplossing. Middels een te setten variabele kun je dan elke binnenkomende query checken op INSERT/UPDATE keywords. Ik denk dat de overhead daarop te verwaarlozen is.

(In wezen hoef je alleen de eerste letter van je query string te checken..

[RwD]

Na, de eerste letter is dan niet een goed idee, je weet niet hoe gebruikers hun query doen.
Ik doe meestal dit: " SELECT * FROM db WHERE 1 LIMIT 1 "
(Of met andere woorden, mn query strings opvullen met spaties)

Ik doe dit omdat ik al heel lang me ergerde aan kleine foutjes die ik maakte bij het in elkaar schroeven van een query waarbij ik dingen als "WHERE 1LIMIT 1" kreeg bij gebrek aan spaties. Ik heb geen idee of het slecht is dat ik het doe

Maar een eregi( '\s*SELECT', $var ) of trim( $var ) lost dat wel weer op dan

[ Voor 23% gewijzigd door RwD op 23-06-2004 12:44 ]

[curry684]

Grijze Vos schreef op 23 juni 2004 @ 12:14:
Een database-abstractie klasse is natuurlijk een oplossing. Middels een te setten variabele kun je dan elke binnenkomende query checken op INSERT/UPDATE keywords. Ik denk dat de overhead daarop te verwaarlozen is.

(In wezen hoef je alleen de eerste letter van je query string te checken..

SELECT ... INTO?

En nee, dat MySQL die nu niet ondersteunt is geen argument, het is gewoon geen stabiele future-proof oplossing. Gewoon rechtensets gebruiken dus, daar zijn ze voor bedoeld.