MySQL 触发器需要哪些权限？
创建触发器必须拥有
TRIGGER权限，且对关联的表要有
SELECT、
INSERT、
UPDATE或
DELETE权限（取决于触发器中执行的操作）。注意：
TRIGGER是数据库级权限，不能按表授予，必须用
ON database_name.*语法指定作用域。
常见错误现象：
ERROR 1227 (42000): Access denied; you need (at least one of) the SUPER or TRIGGER privilege(s) for this operation——说明当前用户缺少
TRIGGER权限，或 MySQL 版本低于 5.7.2 且未启用
log_bin_trust_function_creators（旧版主从场景下还可能涉及）。 创建触发器前先检查：
SHOW GRANTS FOR 'user'@'host';授予权限示例：
GRANT TRIGGER ON mydb.* TO 'dev'@'%';若触发器内含查询操作，还需确保该用户对目标表有对应 DML 权限，例如：
GRANT SELECT, INSERT ON mydb.log_table TO 'dev'@'%';
为什么不能只给表级 TRIGGER 权限？
MySQL 的
TRIGGER权限设计是数据库粒度的，不是表粒度。这是为了防止通过触发器绕过行级或表级访问控制——比如在用户无权读某张表的情况下，通过另一个有权限的表上的触发器偷偷写入/读取敏感数据。
这意味着：即使你只想让某用户管理
orders表的触发器，也必须授予其整个库的
TRIGGER权限。实际中建议隔离用途库，例如专设
triggers_db库存放所有触发逻辑相关对象，再限制该库仅被可信角色访问。 不要用
GRANT TRIGGER ON mydb.orders TO ...—— 语法错误，会报
ERROR 1064避免给生产账号全局
TRIGGER权限（如
ON *.*），尤其在多租户或共享实例环境中 MySQL 8.0+ 支持角色（ROLE），可用
CREATE ROLE trigger_admin; GRANT TRIGGER ON app_db.* TO trigger_admin;实现权限复用
自动化权限分配时容易忽略的点
自动化脚本（如 Ansible、SQL 初始化脚本）批量授权时，常漏掉触发器依赖的隐式权限。例如一个
BEFORE INSERT触发器里调用了自定义函数
gen_order_no()，那用户不仅需要
TRIGGER，还得有对该函数的
EXECUTE权限；如果触发器中用到了
INSERT INTO audit_log，则还必须显式授予
INSERT权限给
audit_log表。 检查触发器体：
SHOW CREATE TRIGGER trigger_name;，逐行识别涉及的对象和操作类型 函数调用需额外
GRANT EXECUTE ON FUNCTION mydb.gen_order_no TO 'user'@'%';跨库写入（如
INSERT INTO sys.audit_log）需单独授
INSERT权限：
GRANT INSERT ON sys.audit_log TO 'user'@'%';MySQL 8.0.16+ 支持
DEFINER子句，但若用
DEFINER='root'@'localhost'，则执行时以 root 权限运行，此时普通用户无需对应 DML 权限——但代价是安全模型变复杂，审计困难
TRIGGER 权限与 binlog / GTID 兼容性问题
在开启 binlog 的 MySQL 实例（尤其是主从架构或使用 GTID）中，触发器行为受
binlog_format和
log_bin_trust_function_creators影响。虽然这不是权限本身，但配置不当会导致触发器创建失败或复制中断。
典型表现：触发器能建成功，但插入数据时不生效；或者从库报错
Could not execute Write_rows event on table...。根本原因常是触发器被当作“不确定函数”拒绝写入 binlog。 确认
binlog_format为
ROW（推荐），而非
MIXED或
STATEMENT若用
STATEMENT，需设置
log_bin_trust_function_creators = ON（不推荐生产环境开启） MySQL 5.7.6+ 默认要求触发器定义者具有
SUPER或
SYSTEM_VARIABLES_ADMIN才能创建非确定性触发器——这时光有
TRIGGER不够 使用
DEFINER时，定义者账号必须在所有节点上存在且权限一致，否则 GTID 复制会失败
触发器权限看似简单，真正麻烦的是它把多个权限层（库级、表级、函数级、系统变量级）耦合在一起，而自动化部署往往只扫了表面。上线前务必用真实用户身份执行一遍完整业务流，别只测
CREATE TRIGGER语句是否通过。
