TDengine 用戶管理完全指南創(chuàng)建、查詢、修改與安全策略含 TOTP 雙因素認證與 Token 管理【免費下載鏈接】tdengineTDengine is an open source, high-performance, cloud native time-series database optimized for Internet of Things (IoT), Connected Cars, Industrial IoT and DevOps.項目地址: https://gitcode.com/taosdata/tdengine本文是 TDengine 時間序列數(shù)據(jù)庫用戶管理體系的實戰(zhàn)指南圍繞CREATE USER、SHOW USERS、ALTER USER、DROP USER等 SQL 語句展開覆蓋密碼策略、會話與登錄限制、IP 白名單/黑名單、基于時間的登錄時段控制、TOTP 雙因素認證以及 Token 令牌管理等企業(yè)級安全能力。讀完本文你將能夠在 taos shell 或業(yè)務代碼中完整地完成用戶的創(chuàng)建、授權邊界設定、安全加固與生命周期管理并理解這些語法背后的服務端實現(xiàn)原理。功能概述與版本說明TDengine 的用戶管理語法在社區(qū)版與企業(yè)版中均可使用但功能可用性存在差異社區(qū)版TDengine TSDB Community Edition僅開放基礎功能高級安全能力會話限制、密碼策略、IP 白名單、TOTP、Token 等屬于**企業(yè)版TDengine TSDB Enterprise Edition**特性。文中各參數(shù)后標注了引入版本例如SESSION_PER_USER等會話與密碼策略參數(shù)支持于企業(yè)版 v3.4.0.0 及以上TOTP 雙因素認證支持于 v3.4.0.1 及以上。需要說明的是社區(qū)版雖然可以執(zhí)行 IP 白名單、Token 等語句但不會強制執(zhí)行對應限制相關安全策略只有在企業(yè)版中才真正生效。創(chuàng)建用戶CREATE USER創(chuàng)建用戶的完整語法如下CREATE USER user_name PASS password [SYSINFO {1|0}] [CREATEDB {1|0}] [ENABLE {1|0}] [CHANGEPASS {2|1|0}] [SESSION_PER_USER {value | DEFAULT | UNLIMITED}] [CONNECT_TIME {value | DEFAULT | UNLIMITED}] [CONNECT_IDLE_TIME {value | DEFAULT | UNLIMITED}] [CALL_PER_SESSION {value | DEFAULT | UNLIMITED}] [VNODE_PER_CALL {value | DEFAULT | UNLIMITED}] [FAILED_LOGIN_ATTEMPTS {value | DEFAULT | UNLIMITED}] [PASSWORD_LOCK_TIME {value | DEFAULT | UNLIMITED}] [PASSWORD_LIFE_TIME {value | DEFAULT | UNLIMITED}] [PASSWORD_GRACE_TIME {value | DEFAULT | UNLIMITED}] [PASSWORD_REUSE_TIME {value | DEFAULT}] [PASSWORD_REUSE_MAX {value | DEFAULT}] [INACTIVE_ACCOUNT_TIME {value | DEFAULT | UNLIMITED}] [ALLOW_TOKEN_NUM {value | DEFAULT | UNLIMITED}] [SECURITY_LEVEL min_level, max_level] [HOST {ip | ip range} [, {ip | ip range}] ...] [NOT_ALLOW_HOST {ip | ip range} [, {ip | ip range}] ...] [ALLOW_DATETIME {time range} [, {time range}] ...] [NOT_ALLOW_DATETIME {time range} [, {time range}] ...]命名與密碼約束用戶名最長23 字節(jié)。密碼長度必須為8 到 255 個字符且必須包含大寫字母、小寫字母、數(shù)字、特殊字符四類中的至少三類。特殊字符包括! # $ % ^ * ( ) - _ [ ] { } : ; ? | ~ , .。強密碼校驗可以通過在taos.cfg中設置enableStrongPassword 0關閉也可以通過 SQL 動態(tài)關閉alter all dnodes EnableStrongPassword 0從源碼看密碼格式校驗位于 mndUser.c 的mndCheckCreateUserReqPasswordFmt當tsEnableStrongPassword 0時允許簡單密碼否則依次校驗最小長度TSDB_PASSWORD_MIN_LEN、最大長度TSDB_PASSWORD_MAX_LEN與復雜度isComplexPass任一不滿足即返回TSDB_CODE_MND_INVALID_PASS_FORMAT或對應長度錯誤碼。各選項說明選項含義與取值默認值備注SYSINFO是否可查看系統(tǒng)信息服務配置、dnode、vnode、存儲等。1可查看0無權限1—CREATEDB是否可創(chuàng)建數(shù)據(jù)庫。1可創(chuàng)建0不可0企業(yè)版 v3.3.2.0 起支持ENABLE用戶是否啟用。1啟用0禁用禁用用戶無法連接數(shù)據(jù)庫1—CHANGEPASS是否允許/必須修改密碼2可修改1必須修改0不可修改2企業(yè)版 v3.4.0.0 起支持SESSION_PER_USER同一用戶最大并發(fā)連接數(shù)enableAdvancedSecurity1時為32否則-1UNLIMITED最小1-1/UNLIMITED關閉限制企業(yè)版 v3.4.0.0 起CONNECT_TIME單次會話最大時長分鐘高級安全開啟時480否則-1最小1企業(yè)版 v3.4.0.0 起CONNECT_IDLE_TIME單次會話最大空閑時長分鐘高級安全開啟時30否則-1最小1企業(yè)版 v3.4.0.0 起CALL_PER_SESSION單會話最大子調用次數(shù)高級安全開啟時128否則-1最小1企業(yè)版 v3.4.0.0 起VNODE_PER_CALL單次調用最多涉及的 vnode 數(shù)-1不限企業(yè)版 v3.4.0.0 起FAILED_LOGIN_ATTEMPTS連續(xù)登錄失敗次數(shù)上限超限鎖定高級安全開啟時3否則 UNLIMITED最小1企業(yè)版 v3.4.0.0 起PASSWORD_LOCK_TIME因登錄失敗被鎖定的解鎖等待時間分鐘高級安全開啟時1440否則1最小1UNLIMITED表示永久鎖定企業(yè)版 v3.4.0.0 起PASSWORD_LIFE_TIME密碼有效期天高級安全開啟時90否則 UNLIMITED最小1UNLIMITED永不過期企業(yè)版 v3.4.0.0 起PASSWORD_GRACE_TIME密碼過期后的寬限期天寬限期內僅允許修改密碼高級安全開啟時7否則 UNLIMITED最小0超期未改則鎖定企業(yè)版 v3.4.0.0 起PASSWORD_REUSE_TIME舊密碼不可重復使用的時間天高級安全開啟時30否則0范圍0~365須與PASSWORD_REUSE_MAX同時滿足企業(yè)版 v3.4.0.0 起PASSWORD_REUSE_MAX舊密碼可復用前需經(jīng)歷的改密次數(shù)高級安全開啟時5否則0范圍0~100企業(yè)版 v3.4.0.0 起INACTIVE_ACCOUNT_TIME用戶不活動鎖定周期天高級安全開啟時90否則 UNLIMITED最小1企業(yè)版 v3.4.0.0 起ALLOW_TOKEN_NUM允許的 Token 最大數(shù)量3最小0企業(yè)版 v3.4.0.0 起SECURITY_LEVEL強制訪問控制MAC下的用戶安全級別區(qū)間(min_level, max_level)—企業(yè)版特性詳見授權管理HOST/NOT_ALLOW_HOSTIP 白名單/黑名單可填單 IP如192.168.1.1或 CIDR 網(wǎng)段如192.168.1.1/24見下文 IP 白名單章節(jié)企業(yè)版 v3.4.0.0 起需enableWhiteList置1才生效詳見 taosdALLOW_DATETIME/NOT_ALLOW_DATETIME允許/禁止登錄的時間段按服務器本地時區(qū)格式為日期 起始時間精確到分鐘 時長分鐘如2025-12-25 08:00 120、TUE 08:00 120見下方組合語義企業(yè)版 v3.4.0.0 起登錄時間段的組合語義兩者均未設置任何時間均可登錄。僅設置ALLOW_DATETIME僅在該時間段內允許登錄。僅設置NOT_ALLOW_DATETIME僅禁止在該時間段內登錄。兩者均設置僅允許在屬于ALLOW_DATETIME且不屬于NOT_ALLOW_DATETIME的時間登錄。關于 enableAdvancedSecurityFAILED_LOGIN_ATTEMPTS等選項的默認值取決于配置參數(shù)enableAdvancedSecurity。該參數(shù)默認開啟源碼中int8_t tsEnableAdvancedSecurity 1;見 tglobal.c屬于全局安全類配置CFG_PRIV_SECURITY?？赏ㄟ^ SQL 動態(tài)切換-- 開啟高級安全默認 alter all dnodes EnableAdvancedSecurity 1 -- 關閉高級安全 alter all dnodes EnableAdvancedSecurity 0關閉高級安全后密碼校驗邏輯相應放寬在 mndUser.c 中當tsEnableAdvancedSecurity 0且使用默認密碼時直接放行不再強制復雜密碼。創(chuàng)建用戶示例創(chuàng)建一個密碼為abc123!#、可查看系統(tǒng)信息的用戶testtaos create user test pass abc123!# sysinfo 1; Query OK, 0 of 0 rows affected (0.001254s)查看用戶SHOW USERS 與系統(tǒng)表查看系統(tǒng)中全部用戶SHOW USERS;示例輸出taos show users; name | super | enable | sysinfo | createdb | create_time | totp | allowed_host | allowed_datetime | test | 0 | 1 | 1 | 0 | 2025-12-24 18:56:20.709 | 0 | 127.0.0.1/32, ::1/128 | ALL | root | 1 | 1 | 1 | 1 | 2025-12-24 18:00:43.197 | 0 | 127.0.0.1/32, ::1/128 | ALL | Query OK, 2 rows in set (0.001657s)輸出列說明allowed_host中地址前綴表示白名單條目允許登錄前綴-表示黑名單條目禁止登錄allowed_datetime同理。totp列為1表示該用戶已啟用 TOTP 雙因素認證。也可以查詢內置系統(tǒng)表INFORMATION_SCHEMA.INS_USERS獲取相同的用戶信息taos select * from information_schema.ins_users; name | super | enable | sysinfo | createdb | create_time | totp | allowed_host | allowed_datetime | test | 0 | 1 | 1 | 0 | 2025-12-24 18:56:20.709 | 0 | 127.0.0.1/32, ::1/128 | ALL | root | 1 | 1 | 1 | 1 | 2025-12-24 18:00:43.197 | 0 | 127.0.0.1/32, ::1/128 | ALL | Query OK, 2 row(s) in set (0.007383s)在倉庫的 mnode 單元測試 user.cpp 中可以看到通過TSDB_MGMT_TABLE_USER消息類型配合ins_users表名來批量驗證用戶信息的測試模式這印證了SHOW USERS與INFORMATION_SCHEMA.INS_USERS底層共享同一份用戶元數(shù)據(jù)。刪除用戶DROP USERDROP USER [IF EXISTS] user_name;IF EXISTS可避免用戶不存在時報錯。注意刪除用戶時該用戶擁有的 Token 會被級聯(lián)刪除。修改用戶ALTER USER修改用戶配置的完整語法ALTER USER user_name alter_user_clause alter_user_clause: { [PASS password] [SYSINFO {1|0}] [CREATEDB {1|0}] [ENABLE {1|0}] [CHANGEPASS {2|1|0}] [SESSION_PER_USER {value | DEFAULT | UNLIMITED}] [CONNECT_TIME {value | DEFAULT | UNLIMITED}] [CONNECT_IDLE_TIME {value | DEFAULT | UNLIMITED}] [CALL_PER_SESSION {value | DEFAULT | UNLIMITED}] [VNODE_PER_CALL {value | DEFAULT | UNLIMITED}] [FAILED_LOGIN_ATTEMPTS {value | DEFAULT | UNLIMITED}] [PASSWORD_LOCK_TIME {value | DEFAULT | UNLIMITED}] [PASSWORD_LIFE_TIME {value | DEFAULT | UNLIMITED}] [PASSWORD_GRACE_TIME {value | DEFAULT | UNLIMITED}] [PASSWORD_REUSE_TIME {value | DEFAULT}] [PASSWORD_REUSE_MAX {value | DEFAULT}] [INACTIVE_ACCOUNT_TIME {value | DEFAULT | UNLIMITED}] [ALLOW_TOKEN_NUM {value | DEFAULT | UNLIMITED}] [SECURITY_LEVEL min_level, max_level] [ADD HOST {ip | ip range} [, {ip | ip range}] ...] [DROP HOST {ip | ip range} [, {ip | ip range}] ...] [ADD NOT_ALLOW_HOST {ip | ip range} [, {ip | ip range}] ...] [DROP NOT_ALLOW_HOST {ip | ip range} [, {ip | ip range}] ...] [ADD ALLOW_DATETIME {time range} [, {time range}] ...] [DROP ALLOW_DATETIME {time range} [, {time range}] ...] [ADD NOT_ALLOW_DATETIME {time range} [, {time range}] ...] [DROP NOT_ALLOW_DATETIME {time range} [, {time range}] ...] }各選項含義與CREATE USER一致DEFAULT表示恢復默認值UNLIMITED表示解除限制。示例禁用用戶testtaos alter user test enable 0; Query OK, 0 of 0 rows affected (0.001160s)改密后的會話處理機制修改用戶密碼ALTER USER ... PASS后服務端會在心跳檢測時發(fā)現(xiàn)仍使用舊密碼的既有會話并將其斷開這些連接上的后續(xù)請求會返回認證失敗錯誤碼0x80000357執(zhí)行改密的連接本身不受影響。需要特別注意的是使用 Token 認證的連接不受此機制約束。SYSINFO 與角色的聯(lián)動自企業(yè)版 v3.4.2.1 起ALTER USER ... SYSINFO {0|1}會同步更新用戶的SYSINFO_0/SYSINFO_1角色反過來授予更高系統(tǒng)角色也會提升SYSINFO屬性。詳見授權管理中的聯(lián)動說明。IP 白名單與黑名單HOST / NOT_ALLOW_HOSTIP 白名單/黑名單用于限制用戶可登錄的源地址與GRANT權限體系相互獨立管理。企業(yè)版自 v3.2.0.0 起提供白名單能力HOST/NOT_ALLOW_HOST語法自 v3.4.0.0 起支持。社區(qū)版可以執(zhí)行增刪改查語句但不強制執(zhí)行源 IP 限制。設置系統(tǒng)配置enableWhiteList為1后白名單/黑名單才生效見 taosd。該配置默認值為false源碼見 tglobal.c屬于系統(tǒng)類動態(tài)配置CFG_DYN_SERVERCFG_PRIV_SYSTEM。登錄判定規(guī)則若HOST與NOT_ALLOW_HOST均未設置用戶可從任意地址登錄。注意出于安全與便利考慮創(chuàng)建用戶時若設置了HOST或兩者均未設置系統(tǒng)會自動將127.0.0.1和::1加入HOST。因此任意地址的情形只會在通過ALTER USER將HOST與NOT_ALLOW_HOST全部刪除后出現(xiàn)。僅設置HOST只允許從這些地址/網(wǎng)段登錄。僅設置NOT_ALLOW_HOST禁止從這些地址/網(wǎng)段登錄其余地址允許。兩者均設置僅允許從屬于HOST且不屬于NOT_ALLOW_HOST的地址登錄。從創(chuàng)建用戶的實現(xiàn)看mndUser.c當創(chuàng)建請求未攜帶任何 IP 范圍時調用createDefaultIpWhiteList生成默認白名單當攜帶了正向非neg范圍時會通過addDefaultIpToTable自動補充本機 IP范圍總數(shù)超過MND_MAX_USER_IP_RANGE時返回TSDB_CODE_MND_TOO_MANY_USER_IP_RANGE。添加與查詢示例添加 IP 白名單CREATE USER test PASS taosdata1 HOST 192.168.1.0/24, 10.0.0.1; ALTER USER test ADD HOST 192.168.2.0/24;添加 IP 黑名單ALTER USER test ADD NOT_ALLOW_HOST 203.0.113.5/32;查詢SELECT name, allowed_host FROM information_schema.ins_users; SHOW USERS;allowed_host中前綴表示白名單允許登錄-前綴表示黑名單禁止登錄。移除條目ALTER USER test DROP HOST 192.168.2.0/24; ALTER USER test DROP NOT_ALLOW_HOST 203.0.113.5/32;使用注意事項社區(qū)版與企業(yè)版均可添加和查詢條目但社區(qū)版不強制執(zhí)行 IP 限制。可一次添加多個 IP 范圍服務端僅對完全相同的條目去重。例如CREATE USER u_write PASS taosdata1 HOST iprange1,iprange2。127.0.0.1默認加入白名單且在查詢中可見部分文檔場景還會包含::1。集群節(jié)點 IP 集合會自動加入白名單但查詢中不可見。當taosAdapter與taosd不在同一主機時需手動將taosAdapter的 IP 加入taosd的白名單。集群中enableWhiteList必須在各節(jié)點保持一致全部false或全部true否則集群無法啟動。白名單變更約 1 秒不超過 2 秒生效變更本身對收發(fā)性能影響可忽略變更完成后無持續(xù)影響不影響已入白名單 IP 的集群與客戶端。若添加了存在包含關系的兩個網(wǎng)段如 A192.168.1.1/16與 B192.168.1.1/24由于情形復雜不會被合并。刪除必須精確匹配添加的是192.168.1.1/24就必須刪除192.168.1.1/24。只有root可以為其他用戶添加或刪除白名單條目。兼容舊版本但不支持從當前版本回滾到舊版本。x.x.x.x/32與x.x.x.x等價展示為x.x.x.x?？蛻舳耸盏?.0.0.0/0表示白名單未啟用。白名單變更后客戶端通過心跳感知。單用戶最大 IP 數(shù)為2048。TOTP 雙因素認證TOTP 雙因素認證是企業(yè)版特性支持版本 v3.4.0.1 及以上。啟用后客戶端登錄時除密碼外還需提供 TOTP 動態(tài)驗證碼。創(chuàng)建/更新 TOTP 密鑰CREATE TOTP_SECRET FOR USER user_name若用戶尚未創(chuàng)建 TOTP 密鑰該命令會為其生成若已存在則更新密鑰。無論哪種情況命令都會返回新生成的密鑰該密鑰僅顯示一次請及時妥善保存。系統(tǒng)會自動為擁有 TOTP 密鑰的用戶啟用雙因素認證。啟用后TDengine 要求 OTP 為6 位數(shù)字、每 30 秒刷新一次。請據(jù)此配置你的 TOTP 生成器如 Google Authenticator、1Password 等否則客戶端可能登錄失敗。為test用戶創(chuàng)建 TOTP 密鑰示例taos create totp_secret for user test; totp_secret | ERIRPLZL4ZBFTPT5BNXMVFPR4Z3PTHUWTBTCNZPOHYPYQGTD25XA | Query OK, 1 row(s) in set (0.002314s)在服務端創(chuàng)建用戶的實現(xiàn)中mndUser.c當請求攜帶totpseed時會調用taosGenerateTotpSecret生成 TOTP 種子并存入用戶對象生成失敗則返回TSDB_CODE_PAR_INVALID_OPTION_VALUE。刪除 TOTP 密鑰DROP TOTP_SECRET FROM USER user_name刪除后該用戶的 TOTP 雙因素認證即被禁用。示例taos drop totp_secret from user test; Drop OK, 0 row(s) affected (0.002295s)Token 令牌管理Token 管理是企業(yè)版特性支持版本 v3.4.0.0 及以上。Token 可替代密碼用于連接認證且不受改密即斷開舊會話機制影響適合服務間調用等場景。創(chuàng)建 TokenCREATE TOKEN [IF NOT EXISTS] token_name FROM USER user_name [ENABLE {1|0}] [TTL value] [PROVIDER value] [EXTRA_INFO value]token_name最長31 字節(jié)。ENABLEToken 是否啟用1啟用、0禁用禁用的 Token 無法用于連接數(shù)據(jù)庫。默認1。TTL有效期天從創(chuàng)建時間起算。默認0表示永久有效。PROVIDERToken 提供方名稱最長63 字節(jié)。EXTRA_INFO由應用管理的附加信息最長1023 字節(jié)。示例為test用戶創(chuàng)建名為test_token的 Token。Token 值僅在創(chuàng)建時顯示一次之后無法再查詢請及時保存taos create token test_token from user test; token | BsyjYKxhCMntZ3pHgweCd2uV2C8HoGKn8Mvd49dRRCtzusX0P1mgqRMrG7SzUca | Query OK, 1 row(s) in set (0.003018s)查看 TokenSHOW TOKENS;根據(jù)權限不同你可能只能看到自己的 Token。示例taos show tokens; name | user | provider | enable | create_time | expire_time | extra_info | root_token | root | | 1 | 2025-12-25 10:02:28.000 | 1970-01-01 08:00:00.000 | | test_token | test | | 1 | 2025-12-25 10:01:47.000 | 1970-01-01 08:00:00.000 | | Query OK, 2 row(s) in set (0.003313s)也可查詢內置系統(tǒng)表INFORMATION_SCHEMA.INS_TOKENStaos select * from information_schema.ins_tokens; name | user | provider | enable | create_time | expire_time | extra_info | root_token | root | | 1 | 2025-12-25 10:02:28.000 | 1970-01-01 08:00:00.000 | | test_token | test | | 1 | 2025-12-25 10:01:47.000 | 1970-01-01 08:00:00.000 | | Query OK, 2 row(s) in set (0.007438s)修改 TokenALTER TOKEN token_name [ENABLE {1|0}] [TTL value] [PROVIDER value] [EXTRA_INFO value]注意修改有效期TTL時新的有效期從修改時刻重新起算。刪除 TokenDROP TOKEN [IF EXISTS] token_name;刪除用戶時其名下 Token 會被級聯(lián)刪除。用戶管理實踐要點密碼策略分層落地默認enableStrongPassword1、enableAdvancedSecurity1源碼默認值見 tglobal.c。生產(chǎn)環(huán)境建議保持開啟若確需弱口令如僅限內網(wǎng)的測試環(huán)境可通過alter all dnodes EnableStrongPassword 0關閉強密碼校驗。訪問控制按需收緊為每個應用分配獨立賬號按最小權限原則設置SYSINFO、CREATEDB并通過HOST/NOT_ALLOW_HOST限制登錄來源通過ALLOW_DATETIME/NOT_ALLOW_DATETIME限制登錄時段。賬號生命周期管理使用ENABLE 0臨時凍結賬號、FAILED_LOGIN_ATTEMPTSPASSWORD_LOCK_TIME防暴力破解、PASSWORD_LIFE_TIMEPASSWORD_GRACE_TIME強制定期改密、INACTIVE_ACCOUNT_TIME清理僵尸賬號。會話與資源限制通過SESSION_PER_USER、CONNECT_TIME、CONNECT_IDLE_TIME、CALL_PER_SESSION、VNODE_PER_CALL防止單賬號過度占用連接與計算資源。認證強度升級對核心賬號啟用 TOTP 雙因素認證對自動化任務與微服務間調用改用 Token 認證避免共享密碼同時利用TTL、PROVIDER、EXTRA_INFO做好 Token 的周期輪換與歸屬管理。權限聯(lián)動意識SYSINFO屬性與系統(tǒng)角色存在聯(lián)動關系改密會影響舊密碼會話集群部署時enableWhiteList必須全集群一致——這些隱含規(guī)則是排障時最容易忽略的點。以上語法與行為均可在當前倉庫中驗證用戶管理的服務端核心實現(xiàn)在 mndUser.c相關安全/系統(tǒng)配置注冊于 tglobal.c用戶與 Token 的元數(shù)據(jù)查詢ins_users/ins_tokens在 user.cpp 中亦有覆蓋測試。【免費下載鏈接】tdengineTDengine is an open source, high-performance, cloud native time-series database optimized for Internet of Things (IoT), Connected Cars, Industrial IoT and DevOps.項目地址: https://gitcode.com/taosdata/tdengine創(chuàng)作聲明：本文部分內容由AI輔助生成（AIGC），僅供參考