MySQL 用户权限管理主要依靠系统自带的权限表，不需要从零设计新表。核心是理解并正确使用
mysql数据库中的 5 张权限表（
user、
db、
tables_priv、
columns_priv、
procs_priv），配合
GRANT/
REVOKE语句操作，而非手动插入或修改权限表。
权限作用域分层控制
MySQL 权限按层级生效：全局 → 数据库 → 表 → 列 → 存储过程/函数。权限判断时，从高到低逐级匹配，满足任一层级对应权限即生效（有交集即授权，非完全覆盖）。
全局权限（如SELECT,
CREATE USER）存在
mysql.user表，影响所有数据库 数据库级权限（如
CREATE,
DROP）记录在
mysql.db，按
Host+
Db+
User三元组标识 表级/列级权限 存于
tables_priv和
columns_priv，适用于精细化控制（例如只允许查某张表的几个字段）
推荐用 GRANT 语句代替直接操作权限表
手动更新
mysql库下的权限表风险高，且不会自动刷新权限缓存；
GRANT语句会校验语法、写入对应表，并隐式执行
FLUSH PRIVILEGES（8.0+ 默认自动刷新）。 创建只读用户：
GRANT SELECT ON myapp.* TO 'reader'@'192.168.1.%' IDENTIFIED BY 'pwd123';限制操作范围：
GRANT INSERT, UPDATE ON myapp.orders TO 'writer'@'localhost';列级授权（谨慎使用）：
GRANT SELECT(id, name) ON myapp.users TO 'reporter'@'%';
权限回收与最小权限原则
权限应遵循“最小够用”原则。撤销权限用
REVOKE，它比 DELETE 权限表记录更安全、可逆。 回收某库全部权限：
REVOKE ALL PRIVILEGES ON myapp.* FROM 'dev_user'@'%';回收全局权限（如删除用户能力）：
REVOKE CREATE USER ON *.* FROM 'admin'@'%';彻底删除用户（含权限）：
DROP USER 'old_user'@'10.0.0.%';（MySQL 5.7+ 推荐方式）
自定义权限需求不建议新建权限表
若业务需扩展角色、部门、有效期等字段，应在应用层实现权限逻辑（如用
roles、
role_permissions等业务表），MySQL 层仍只负责连接认证和基础对象访问控制。混合管理易导致权限不一致、审计困难、无法利用 MySQL 原生审计日志。 MySQL 负责：“这个用户能否连上？能否查这张表？” 应用层负责：“这个用户属于哪个角色？能否看到这笔订单？是否已过期？” 两者边界清晰，运维和开发职责分明
