mysql多实例权限无法直接同步，因mysql系统库不参与主从复制且禁止直接dump导入；应统一用show grants导出、角色抽象权限、pt-show-grants配合参数导出，并注意版本兼容性与校验。
MySQL多实例间权限表无法直接同步怎么办
MySQL权限数据存在每个实例自己的 mysql 库里，mysql.user、mysql.db 等表不支持跨实例自动复制。主从复制只同步业务库，不包含系统库（除非显式开启 replicate_wild_ignore_table=mysql.% 被禁用），所以不能指望靠复制拉平权限。
实操建议：
- 禁止直接用
mysqldump mysql导出后导入到其他实例——mysql库含加密密码和内部字段，跨版本或跨实例导入极易导致Access denied或登录失败 - 统一用
SHOW GRANTS FOR 'user'@'host'生成可移植的 SQL，再在目标实例执行；注意检查DEFINER和存储过程/函数权限是否需额外处理 - 若使用 MySQL 8.0+，优先用角色（
CREATE ROLE+GRANT ... TO role）抽象权限集，再把角色分配给用户，角色本身可在各实例独立创建，降低同步粒度
用 pt-show-grants 同步权限时为什么总漏掉部分权限
pt-show-grants（Percona Toolkit）是目前最靠谱的权限导出工具，但它默认只输出 GRANT 语句，不包括 CREATE USER、角色绑定、列级权限（如 GRANT SELECT(col1) ON db.t1）等细节，尤其遇到 WITH GRANT OPTION 或 PROXY 用户时容易遗漏。
实操建议：
- 必须加
--no-create-user参数避免重复建用户报错；若要重建用户，改用--skip-privileges配合手动CREATE USER - 列级权限需额外加
--columns参数才输出，否则会被静默忽略 - 运行前先确认源实例已启用
performance_schema，否则某些动态权限（如BACKUP_ADMIN）可能查不到 - 导出后务必用
mysql --skip-column-names -N -e "SELECT COUNT(*) FROM mysql.role_edges"核对角色关系数，防止角色继承链断裂
备份权限配置时该不该 dump mysql 系统库
可以 dump，但仅限于归档或灾备场景，绝不能直接 restore 到运行中的实例。因为 mysql 库包含 plugin、help_topic、time_zone 等与服务强耦合的表，恢复会覆盖当前插件状态、时区数据甚至导致 mysqld 启动失败。
实操建议：
- 备份时用
mysqldump --skip-triggers --skip-routines --no-data mysql user db tables_priv columns_priv procs_priv proxies_priv，排除非权限相关表 - 加
--set-gtid-purged=OFF避免 GTID 冲突，即使不用 GTID 也建议加上 - 权限备份文件名必须带实例标识和时间戳，例如
mysql_3307_grants_20240520.sql，不同端口实例混用会出事
自动化同步权限脚本里最容易被忽略的兼容性点
MySQL 5.7 和 8.0 的权限模型差异大：8.0 默认启用 caching_sha2_password 插件、拆分了 CREATE TABLESPACE 权限、新增 CLONE_ADMIN 等，而 5.7 的 mysql.user.plugin 字段值是 mysql_native_password。脚本若不做版本判断，同步后用户可能无法登录。
实操建议：
- 脚本开头必须执行
SELECT VERSION()，根据结果分支处理密码插件和权限关键字 - 不要用
INSERT INTO mysql.user直接写表——8.0 已禁用该方式，必须用CREATE USER/ALTER USER - 涉及
REPLICATION SLAVE权限时，5.7 用REPLICATION SLAVE，8.0 需拆成REPLICATION SLAVE ADMIN+SYSTEM_VARIABLES_ADMIN，漏一个就启不动从库
权限同步不是“导出再导入”就能完事的事，核心在于区分哪些能批量操作、哪些必须逐实例校验。尤其是升级过版本的实例，连 SHOW GRANTS 输出格式都可能不同，别信脚本一次跑通。
