Unterdrücken Sie Warnmeldungen mit MySQL aus dem Terminal heraus, aber das Passwort wurde im Bash-Skript geschrieben

Als ich versuchte, den folgenden Befehl unter MySQL in Terminal auszuführen:

mysql -u $user -p$password -e "statement"

Die Ausführung funktioniert wie erwartet, gibt jedoch immer eine Warnung aus:

Warnung: Die Verwendung eines Kennworts auf der Befehlszeilenschnittstelle kann unsicher sein.

Ich muss die obige Anweisung jedoch mit einer Umgebungsvariablen ( $password) ausführen, in der mein Kennwort gespeichert ist, da ich den Befehl iterativ im Bash-Skript von Terminal aus ausführen möchte und die Idee, auf eine Eingabeaufforderung zu warten, definitiv nicht mag und zwinge mich, mein Passwort 50 oder 100 Mal in einem einzigen Skript einzugeben. Hier ist meine Frage:

• Ist es möglich, die Warnung zu unterdrücken? Der Befehl funktioniert wie angegeben ordnungsgemäß, aber das Fenster wird ziemlich chaotisch, wenn ich den Befehl 50 oder 100 Mal durchlaufe und ausführe.

• Sollte ich der Warnmeldung folgen und mein Passwort NICHT in mein Skript schreiben? Wenn dies der Fall ist, muss ich dann jedes Mal mein Passwort eingeben, wenn mich die Eingabeaufforderung dazu zwingt?

Laufen man mysqlhilft nicht, nur zu sagen

--show-warnings
Verursachen Sie, dass nach jeder Anweisung Warnungen angezeigt werden, falls vorhanden. Diese Option gilt für den interaktiven Modus und den Stapelmodus.

und erwähnt nichts darüber, wie man die Funktionalität ausschaltet, wenn mir etwas nicht fehlt.

Ich bin auf OS X 10.9.1 Mavericks und benutze MySQL 5.6 von Homebrew.

Wenn Ihre MySQL-Client / Server-Version eine 5.6.xa-Methode zur Vermeidung der WARNING-Meldung ist, verwenden Sie die Tools mysql_config_editor :

mysql_config_editor set --login-path=local --host=localhost --user=username --password

Dann können Sie in Ihrem Shell-Skript Folgendes verwenden:

mysql --login-path=local  -e "statement"

Anstatt:

mysql -u username -p pass -e "statement"

Ich benutze so etwas wie:

mysql --defaults-extra-file=/path/to/config.cnf

oder

mysqldump --defaults-extra-file=/path/to/config.cnf 

Wo config.cnf enthält:

[client]
user = whatever
password = whatever
host = whatever

Auf diese Weise können Sie mehrere Konfigurationsdateien haben - für verschiedene Server / Rollen / Datenbanken. Wenn Sie ~ / .my.cnf verwenden, können Sie nur einen Konfigurationssatz festlegen (obwohl dies möglicherweise ein nützlicher Satz von Standardeinstellungen ist).

Wenn Sie in einer Debian-basierten Distribution arbeiten und als Root ausgeführt werden, können Sie die obigen Schritte überspringen und einfach /etc/mysql/debian.cnf verwenden, um in ...:

mysql --defaults-extra-file=/etc/mysql/debian.cnf

Eine bequeme (aber ebenso unsichere) Methode ist die Verwendung von:

MYSQL_PWD=xxxxxxxx mysql -u root -e "statement"

Beachten Sie, dass die offiziellen Dokumente dagegen empfehlen.
Siehe 6.1.2.1 Endbenutzerrichtlinien für die Kennwortsicherheit (MySQL-Handbuch für Version 5.6) :

Speichern Sie Ihr Passwort in der MYSQL_PWDUmgebungsvariablen

Diese Methode zur Angabe Ihres MySQL-Passworts muss als äußerst unsicher angesehen werden und sollte nicht verwendet werden. Einige Versionen von ps enthalten eine Option zum Anzeigen der Umgebung laufender Prozesse. Wenn Sie auf einigen Systemen festlegen MYSQL_PWD, wird Ihr Kennwort jedem anderen Benutzer angezeigt , der ps ausführt . Selbst auf Systemen ohne eine solche Version von ps ist es unklug anzunehmen, dass es keine anderen Methoden gibt, mit denen Benutzer Prozessumgebungen untersuchen können.

Wenn Sie ein Kennwort in der Befehlszeile verwenden möchten, funktioniert dies zum Herausfiltern der spezifischen Fehlermeldung:

mysqlcommand 2>&1 | grep -v "Warning: Using a password"

Grundsätzlich wird der Standardfehler auf die Standardausgabe umgeleitet - und mit grep werden alle Zeilen gelöscht, die mit "Warnung: Verwenden eines Kennworts" übereinstimmen.

Auf diese Weise können Sie jede andere Ausgabe sehen, einschließlich Fehler. Ich benutze dies für verschiedene Shell-Skripte usw.

So habe ich mein Bash-Skript für meine täglichen mysqldump-Datenbanksicherungen erhalten, damit sie sicherer funktionieren. Dies ist eine Erweiterung der großartigen Antwort von Cristian Porta.

1. Verwenden Sie zuerst mysql_config_editor (im Lieferumfang von mysql 5.6+ enthalten ), um die verschlüsselte Kennwortdatei einzurichten. Angenommen, Ihr Benutzername lautet "db_user". Ausführen von der Shell-Eingabeaufforderung:

   mysql_config_editor set --login-path=local --host=localhost --user=db_user --password

   Es fordert zur Eingabe des Passworts auf. Sobald Sie es eingegeben haben, werden der Benutzer / Pass verschlüsselt in Ihrem gespeicherthome/system_username/.mylogin.cnf

   Ändern Sie "system_username" natürlich in Ihren Benutzernamen auf dem Server.

2. Ändern Sie Ihr Bash-Skript folgendermaßen:

   mysqldump -u db_user -pInsecurePassword my_database | gzip > db_backup.tar.gz

   dazu:

   mysqldump --login-path=local my_database | gzip > db_backup.tar.gz

Keine exponierten Passwörter mehr.

Der einfachste Weg ist

mysql -u root -pMYPASSWORD -e "show databases" 2>/dev/null

Sie können auch den mysql_config_editor in Ihrem Skript ausführen, um das Kennwort bei der Angabe des Anmeldepfads zu übergeben

expect -c "
spawn mysql_config_editor set --login-path=$mySqlUser --host=localhost --user=$mySqlUser --password
expect -nocase \"Enter password:\" {send \"$mySqlPassword\r\"; interact}
"

Dadurch wird eine Erwartungssitzung gestartet, die in Skripten zur Interaktion mit Eingabeaufforderungen verwendet werden kann

Siehe diesen Beitrag

ok, Lösung ohne temporäre Dateien oder irgendetwas:

mysql --defaults-extra-file=<(echo $'[client]\npassword='"$password") -u $user -e "statement"

Es ähnelt dem, was andere erwähnt haben, aber hier benötigen Sie keine tatsächliche Datei. Dieser Teil des Befehls fälscht die Datei: <(echo ...) (Beachten Sie, dass in der Mitte kein Leerzeichen vorhanden ist<(

shell> mysql_config_editor set --login-path=local
     --host=localhost --user=localuser --password
Enter password: enter password "localpass" here
shell> mysql_config_editor set --login-path=remote
     --host=remote.example.com --user=remoteuser --password
Enter password: enter password "remotepass" here

Verwenden Sie den Befehl print, um zu sehen, was mysql_config_editor in die Datei .mylogin.cnf geschrieben hat:

shell> mysql_config_editor print --all
[local]
user = localuser
password = *****
host = localhost
[remote]
user = remoteuser
password = *****
host = remote.example.com

Der Befehl print zeigt jeden Anmeldepfad als eine Reihe von Zeilen an, die mit einer Gruppenüberschrift beginnen, die den Namen des Anmeldepfads in eckigen Klammern angibt, gefolgt von den Optionswerten für den Anmeldepfad. Kennwortwerte sind maskiert und werden nicht als Klartext angezeigt.

Wie in den vorhergehenden Beispielen gezeigt, kann die Datei .mylogin.cnf mehrere Anmeldepfade enthalten. Auf diese Weise erleichtert mysql_config_editor das Einrichten mehrerer „Persönlichkeiten“ für die Verbindung mit verschiedenen MySQL-Servern. Jedes dieser Elemente kann später mit der Option --login-path nach Namen ausgewählt werden, wenn Sie ein Client-Programm aufrufen. Verwenden Sie beispielsweise den folgenden Befehl, um eine Verbindung zum lokalen Server herzustellen:

shell> mysql --login-path=local

Verwenden Sie diesen Befehl, um eine Verbindung zum Remote-Server herzustellen:

shell> mysql --login-path=remote

Von https://gist.github.com/nestoru/4f684f206c399894952d

# Let us consider the following typical mysql backup script:
mysqldump --routines --no-data -h $mysqlHost -P $mysqlPort -u $mysqlUser -p$mysqlPassword $database

# It succeeds but stderr will get:
# Warning: Using a password on the command line interface can be insecure.
# You can fix this with the below hack:
credentialsFile=/mysql-credentials.cnf
echo "[client]" > $credentialsFile
echo "user=$mysqlUser" >> $credentialsFile
echo "password=$mysqlPassword" >> $credentialsFile
echo "host=$mysqlHost" >> $credentialsFile
mysqldump --defaults-extra-file=$credentialsFile --routines --no-data $database

# This should not be IMO an error. It is just a 'considered best practice'
# Read more from http://thinkinginsoftware.blogspot.com/2015/10/solution-for-mysql-warning-using.html

Eine andere Alternative ist die Verwendung von sshpass zum Aufrufen von MySQL, z.

sshpass -p topsecret mysql -u root -p username -e 'statement'

Ein einfaches Workaroud-Skript. Nennen Sie dieses "MySQL" und setzen Sie es in Ihren Pfad vor "/ usr / bin". Offensichtliche Varianten für andere Befehle oder wenn der Warnungstext anders ist.

#!/bin/sh

(
(
(
(
(
    /usr/bin/mysql "$@"
) 1>&9 
) 2>&1
) | fgrep -v 'mysql: [Warning] Using a password on the command line interface can be insecure.'
) 1>&2 
) 9>&1

Hier ist eine Lösung für Docker in einem Skript / bin / sh:

docker exec [MYSQL_CONTAINER_NAME] sh -c 'exec echo "[client]"> /root/mysql-credentials.cnf'

docker exec [MYSQL_CONTAINER_NAME] sh -c 'exec echo "user = root" >> /root/mysql-credentials.cnf'

docker exec [MYSQL_CONTAINER_NAME] sh -c 'exec echo "password = $ MYSQL_ROOT_PASSWORD" >> /root/mysql-credentials.cnf'

docker exec [MYSQL_CONTAINER_NAME] sh -c 'exec mysqldump --defaults-extra-file = / root / mysql-credentials.cnf --all-database'

Ersetzen Sie [MYSQL_CONTAINER_NAME] und stellen Sie sicher, dass die Umgebungsvariable MYSQL_ROOT_PASSWORD in Ihrem Container festgelegt ist.

Hoffe es wird dir helfen wie es mir helfen könnte!

Sie können die STDERR-Ausgabe des Standardfehlers auch einfach nach / dev / null umleiten

Also mach einfach:

mysql -u $user -p$password -e "statement" 2> /dev/null

Persönlich verwende ich Script Wrapper, um diesen Fehler abzufangen. Hier ist ein Codebeispiel:

#!/bin/bash

#echo $@ | cat >> /home/mysqldump.log 2>/dev/null
ERR_FILE=/tmp/tmp_mdump.err

# Execute dumper
/usr/bin/mysqldump $@ 2>$ERR_FILE

# Determine error and remove tmp file
ERROR=`cat $ERR_FILE`
rm $ERR_FILE

# Handle an error
if [ "" != "$ERROR" ]; then

        # Error occured
        if [ "Warning: Using a password on the command line interface can be insecure." != "$ERROR" ]; then
                echo $ERROR >&2
                exit 1
        fi
fi

Für PowerShell ( pwshnicht bash) war dies eine ziemliche Rube-Goldberg-Lösung ... Mein erster Versuch bestand darin, die Aufrufe mysqlin eine try/catchFunktion zu packen , jedoch aufgrund eines merkwürdigen Verhaltens bei der PowerShell-Fehlerbehandlung war dies nicht realisierbar.

Die Lösung war , die außer Kraft zu setzen $ErrorActionPreferencegerade lang genug und zu kombinieren Erfassung STDERRund STDOUTund Parst für das Wort ERRORund Wiederwurf nach Bedarf. Der Grund, warum wir nicht abfangen und freigeben konnten, "^mysql.*Warning.*password"ist, dass PowerShell den Fehler als einen Stream behandelt und auslöst. Sie müssen also alles erfassen, um zu filtern und erneut zu werfen. : /

Function CallMySQL() {
    # Cache the error action preference
    $_temp = $ErrorActionPreference
    $ErrorActionPreference = "Continue"

    # Capture all output from mysql
    $output = (&mysql --user=foo --password=bar 2>&1)

    # Restore the error action preference
    $ErrorActionPreference = $_temp

    if ($output -match "ERROR") {
        throw $output
    } elseif($output) {
        "   Swallowing $output"
    } else {
        "   No output"
    }
}

Hinweis: PowerShell ist für Unix verfügbar, daher ist diese Lösung plattformübergreifend. Es kann bashmit einigen geringfügigen Änderungen der Syntax angepasst werden .

Warnung: Es gibt Dutzende von Randfällen, in denen dies nicht funktioniert, z. B. nicht englische Fehlermeldungen oder Anweisungen, die das Wort an einer ERRORbeliebigen Stelle in der Ausgabe zurückgeben. Es hat jedoch ausgereicht, die Warnung für einen einfachen Aufruf an zu verschluckenmysql ohne die zu bombardieren gesamtes Skript. Hoffentlich finden andere das nützlich.

Es wäre schön, wenn Sie mysqleinfach eine Option hinzufügen würden, um diese Warnung zu unterdrücken.

Wenn Sie Rundeck zum Planen Ihrer Aufgaben oder auf einer anderen Plattform verwenden, auf der Sie nach einer mylogin.cnfDatei fragen , habe ich den folgenden Shell-Code erfolgreich verwendet, um einen neuen Speicherort für die Datei bereitzustellen, bevor Sie mit SQL-Aufrufen fortfahren:

if test -f "$CUSTOM_MY_LOGINS_FILE_PATH"; then
   chmod 600 $CUSTOM_MY_LOGINS_FILE_PATH
   export MYSQL_TEST_LOGIN_FILE="$CUSTOM_MY_LOGINS_FILE_PATH"
fi

...

result=$(mysql --login-path=production -NBA -D $schema -e "$query")

Wo MYSQL_TEST_LOGIN_FILEist eine Umgebungsvariable, die auf einen anderen Dateipfad als den Standardpfad festgelegt werden kann?

Dies ist besonders nützlich, wenn Sie in einem gegabelten Prozess ausgeführt werden und keine Dateien in das $HOMEVerzeichnis verschieben oder kopieren können .

Siehe Dokumentation hier.

Die beste Lösung ist die Verwendung eines Alias:

alias [yourapp]-mysql="mysql -u root -psomepassword -P3306 -h 127.0.0.1"

Fügen Sie dies beispielsweise in Ihr Skript ein:

alias drupal-mysql="mysql -u root -psomepassword -P3306 -h 127.0.0.1"

dann später in Ihrem Skript, um eine Datenbank zu laden:

drupal-mysql database_name < database_dump.sql

um eine Anweisung auszuführen:

drupal-mysql -e "EXEC SOMESTATEMENT;"

Definieren Sie den Helfer:

remove-warning () {
    grep -v 'mysql: [Warning] Using a password on the command line interface can be insecure.'
}

Benutze es:

mysql -u $user -p$password -e "statement" 2>&1 | remove-warning

Tachaan! Ihr Code ist sauber und schön zu lesen

(getestet mit Bash)

Eine andere Lösung (zum Beispiel aus einem Skript):

 sed -i'' -e "s/password=.*\$/password=$pass/g" ~/.my.cnf
 mysql -h $host -u $user $db_name -e "$sql_cmd"

Die -i''Option ist hier für die Kompatibilität mit Mac OS X vorgesehen. Standard-UNIX-Betriebssysteme können direkt verwendet werden-i

Das Problem, das ich hatte, war die Verwendung der Ausgabe in einer Bedingung in einem Bash-Skript.

Dies ist nicht elegant, aber in einer Docker-Umgebung sollte dies wirklich keine Rolle spielen. Grundsätzlich ignoriert dies nur die Ausgabe, die nicht in der letzten Zeile steht. Mit awk können Sie ähnliche Aktionen ausführen und alle bis auf die erste Zeile usw. zurückgeben.

Dies gibt nur die letzte Zeile zurück

mysql -u db_user -pInsecurePassword my_database ... | sed -e '$!d'

Der Fehler wird nicht unterdrückt, es wird jedoch sichergestellt, dass Sie die Ausgabe einer Abfrage in einem Bash-Skript verwenden können.

Der einfachste Weg:

mysql -u root -p YOUR_DATABASE

Geben Sie dies ein und Sie müssen Ihr Passwort eingeben.

Hinweis: Ja, ohne Semikolon.

Sie können mySQL ausführen und Warn- und Fehlermeldungen unterdrücken, indem Sie beispielsweise / dev / null verwenden:

# if you run just a SQL-command
mysql -u ${USERNAME} -p${PASSWORD} -h ${HOST} ${DATABASE} -e "${STATEMENT}" &> /dev/null

# Or you can run SQL-script as a file
mysql -u ${USERNAME} -p${PASSWORD} -h ${HOST} ${DATABASE} < ${FILEPATH} &> /dev/null

Wo:

${USERNAME} - existing mysql user

${PASSWORD} - password

${HOST}     - ip or hostname, for example 'localhost'

${DATABASE} - name of database

${STATEMENT}- SQL command

${FILEPATH} - Path to the SQL-script

genießen!

Es hat bei mir funktioniert - Nur 2> nullnach dem hinzugefügt $(mysql_command), und es werden nur die Fehler- und Warnmeldungen unterdrückt.