MySQL权限管理依赖mysql库5张系统表，按全局→数据库→表→列→存储过程层级生效，应使用GRANT/REVOKE而非手动改表，遵循最小权限原则，扩展需求应在应用层实现。

MySQL 用户权限管理主要依靠系统自带的权限表，不需要从零设计新表。核心是理解并正确使用 mysql 数据库中的 5 张权限表（user、db、tables_priv、columns_priv、procs_priv），配合 GRANT / REVOKE 语句操作，而非手动插入或修改权限表。

权限作用域分层控制

MySQL 权限按层级生效：全局 → 数据库 → 表 → 列 → 存储过程/函数。权限判断时，从高到低逐级匹配，满足任一层级对应权限即生效（有交集即授权，非完全覆盖）。

• 全局权限（如 SELECT, CREATE USER）存在 mysql.user 表，影响所有数据库
• 数据库级权限（如 CREATE, DROP）记录在 mysql.db，按 Host+Db+User 三元组标识
• 表级/列级权限 存于 tables_priv 和 columns_priv，适用于精细化控制（例如只允许查某张表的几个字段）

推荐用 GRANT 语句代替直接操作权限表

手动更新 mysql 库下的权限表风险高，且不会自动刷新权限缓存；GRANT 语句会校验语法、写入对应表，并隐式执行 FLUSH PRIVILEGES（8.0+ 默认自动刷新）。

• 创建只读用户：GRANT SELECT ON myapp.* TO 'reader'@'192.168.1.%' IDENTIFIED BY 'pwd123';
• 限制操作范围：GRANT INSERT, UPDATE ON myapp.orders TO 'writer'@'localhost';
• 列级授权（谨慎使用）：GRANT SELECT(id, name) ON myapp.users TO 'reporter'@'%';

权限回收与最小权限原则

权限应遵循“最小够用”原则。撤销权限用 REVOKE，它比 DELETE 权限表记录更安全、可逆。

• 回收某库全部权限：REVOKE ALL PRIVILEGES ON myapp.* FROM 'dev_user'@'%';
• 回收全局权限（如删除用户能力）：REVOKE CREATE USER ON *.* FROM 'admin'@'%';
• 彻底删除用户（含权限）：DROP USER 'old_user'@'10.0.0.%';（MySQL 5.7+ 推荐方式）

自定义权限需求不建议新建权限表

若业务需扩展角色、部门、有效期等字段，应在应用层实现权限逻辑（如用 roles、role_permissions 等业务表），MySQL 层仍只负责连接认证和基础对象访问控制。混合管理易导致权限不一致、审计困难、无法利用 MySQL 原生审计日志。

• MySQL 负责：“这个用户能否连上？能否查这张表？”
• 应用层负责：“这个用户属于哪个角色？能否看到这笔订单？是否已过期？”
• 两者边界清晰，运维和开发职责分明