在使用 MySQL 镜像（如 Docker 中的 mysql:8.0）时，合理配置用户权限组并实现权限分级管理，是保障数据库安全与多环境协作的关键。以下为具体设置方法和操作建议。
创建用户并分配角色
MySQL 支持基于角色的权限管理（从 8.0 版本开始），可通过角色统一管理权限组。启动 MySQL 容器后，进入命令行进行操作：
登录 MySQL：使用 root 用户登录容器内数据库 创建角色：例如创建读写、只读、管理员等角色示例命令：
CREATE ROLE 'app_reader', 'app_writer', 'db_admin'; GRANT SELECT ON mydb.* TO 'app_reader'; GRANT SELECT, INSERT, UPDATE, DELETE ON mydb.* TO 'app_writer'; GRANT ALL PRIVILEGES ON *.* TO 'db_admin';
将用户绑定到对应角色
创建应用用户，并赋予其对应的角色，实现权限继承。
CREATE USER 'user_ro'@'%' IDENTIFIED BY 'password'; CREATE USER 'user_rw'@'%' IDENTIFIED BY 'password'; <p>GRANT 'app_reader' TO 'user_ro'@'%'; GRANT 'app_writer' TO 'user_rw'@'%';</p><p>-- 激活默认角色 SET DEFAULT ROLE ALL TO 'user_ro'@'%'; SET DEFAULT ROLE ALL TO 'user_rw'@'%';</p>
这样，不同用户自动获得预设权限，便于后期维护。
镜像启动时初始化权限脚本
在 Docker 部署中，可通过挂载初始化 SQL 脚本，在容器首次启动时自动创建用户与权限。
将权限设置语句保存为/docker-entrypoint-initdb.d/setup-users.sql构建自定义镜像或挂载该文件到官方镜像
确保
MYSQL_ROOT_PASSWORD已设置，脚本会在初始化阶段执行。
权限最小化与网络限制
安全最佳实践包括：
禁止 root 远程登录，仅限本地管理 用户限定访问主机，如'user'@'172.%.%.%'限制内网访问 定期审查权限：使用
SHOW GRANTS FOR 'user'@'%';检查授权情况 避免直接赋权，优先通过角色管理
结合 Docker 网络策略（如自定义 bridge 或 overlay 网络），进一步隔离数据库访问来源。
基本上就这些。通过角色划分权限组，配合初始化脚本与网络控制，可在 MySQL 镜像中实现清晰、安全的用户权限分级管理。
