MySQL 没有原生的 ACL（Access Control List）配置机制
MySQL 的权限模型基于
GRANT/
REVOKE语句和系统表（如
mysql.user、
mysql.db），不支持类似 Linux 文件系统或某些中间件（如 Nginx、Redis）那种显式的、可独立维护的「ACL 列表」配置文件或 ACL 表。所谓「MySQL ACL 配置」，实际是用户权限的精细化管理，而非加载一个外部 ACL 规则集。
如何实现类似 ACL 的细粒度访问控制
通过组合使用
GRANT语句中的作用域、权限类型和条件，可以模拟 ACL 行为：
GRANT SELECT ON mydb.orders TO 'reporter'@'10.20.30.%'：限制 IP 段访问，等效于网络层 ACL
GRANT INSERT, UPDATE ON mydb.logs TO 'app'@'%' REQUIRE SSL：强制加密连接，增强通道安全
CREATE USER 'api_user'@'192.168.1.100' IDENTIFIED BY 'pwd' PASSWORD EXPIRE INTERVAL 90 DAY：绑定特定客户端 IP + 密码策略 对敏感表单独授权：
GRANT SELECT(id, created_at) ON mydb.users TO 'dashboard'@'%'（MySQL 8.0.23+ 支持列级权限）
注意：
mysql.db表中存储的是数据库级权限，但不建议直接写入该表——必须用
FLUSH PRIVILEGES才生效，且绕过语法校验易出错。
常见误操作与坑点
很多用户试图在配置文件里加 ACL 相关项，或搜索
mysql.acl表，结果发现不存在： MySQL 配置文件（
my.cnf）中没有
acl、
access-list或
permission-policy这类选项
SHOW VARIABLES LIKE '%acl%'返回空——MySQL 不暴露 ACL 相关运行时变量 执行
SELECT * FROM mysql.acl报错
Table 'mysql.acl' doesn't exist误以为
host字段支持通配符子网（如
'10.0.0.0/24'），实际只支持
'10.0.0.%'或 DNS 模式，且不解析 CIDR
替代方案：用 ProxySQL 或 MariaDB 的 ACL 插件
如果真需要外部化、动态加载的 ACL 规则，原生 MySQL 不行，但可考虑：
MariaDB 10.5+ 提供auth_pam_acl插件，支持 PAM 策略联动外部 ACL ProxySQL 可配置
mysql_users表 +
mysql_query_rules实现基于 SQL 模式、用户、时间、来源 IP 的复合访问控制 应用层拦截：在连接池（如 HikariCP）或 API 网关前置鉴权，把权限逻辑移出数据库
这些都不是 MySQL 内置功能，部署前需评估运维复杂度和单点风险。
