mysql中revoke无法单独收回某表select权限，除非该权限是显式授予的表级权限；若存在数据库级或全局级权限，必须先撤销宽权限再重新授权细粒度权限。
直接回答：MySQL 中不能用 REVOKE 单独收回“某个用户对某张表的 SELECT 权限”，除非该权限是当初用 GRANT ... ON table_name 显式授予的；如果用户权限来自数据库级（ON database.*）或全局级（ON *.*），REVOKE 无法做“向下窄化”收回——它只能撤销你曾经 GRANT 过的那条权限语句对应范围。
为什么 REVOKE SELECT ON db.t1 FROM 'u'@'%' 有时不生效？
这是最常踩的坑。MySQL 的权限检查是“叠加生效、不可拆分撤销”。比如：
- 你执行过
GRANT SELECT ON mydb.* TO 'u'@'%'→ 用户能查mydb下所有表 - 之后又执行
REVOKE SELECT ON mydb.t1 FROM 'u'@'%'→ 这条命令语法合法，但实际无效，因为用户仍持有mydb.*级别的更宽权限 - MySQL 不会自动把
mydb.*拆成“除 t1 外的所有表”，它只认你显式GRANT和REVOKE的权限项
真正能精确收回表级权限的前提条件
必须满足：该表权限是独立授予的，且没有更高粒度的覆盖权限。实操中需确认以下三点：
- 用
SHOW GRANTS FOR 'u'@'%'查看当前所有权限，确认是否存在GRANT ... ON mydb.*或GRANT ... ON *.*类语句 - 确认目标表权限确实是用
GRANT SELECT ON mydb.t1 TO 'u'@'%'这种“库.表”粒度授予的（而不是通过角色、或从mysql.tables_priv手动插入） - 若存在更高粒度权限，必须先
REVOKE那个宽权限，再重新GRANT剩余需要的表（即“先收全，再放细”）
安全收回表权限的可靠操作流程
假设你想让用户 'u'@'%' 只能查 mydb.t2，不能查 mydb.t1，且当前用户有 mydb.* 权限：
REVOKE SELECT ON mydb.* FROM 'u'@'%'; FLUSH PRIVILEGES; GRANT SELECT ON mydb.t2 TO 'u'@'%'; FLUSH PRIVILEGES;
注意：FLUSH PRIVILEGES 在大多数情况下非必需（权限缓存会在下次查询时自动刷新），但显式执行可避免因权限延迟导致的误判。
用 mysql.tables_priv 表做更细粒度控制？不推荐
有人尝试直接更新 mysql.tables_priv 表来禁用某张表的访问，这属于绕过权限系统的行为：
- 修改后必须执行
FLUSH TABLES PRIVILEGES（不是FLUSH PRIVILEGES）才能生效 - 后续任何
GRANT/REVOKE操作都可能覆盖或清空你手动写的记录 - MySQL 8.0+ 引入角色机制后，
tables_priv已被标记为 legacy，官方明确不鼓励直接操作
权限模型的设计本意就是“以 GRANT/REVOKE 为唯一正交操作入口”，试图跳过它只会让权限状态变得不可追踪、不可审计。
真正难的不是写对那条 REVOKE 语句，而是理清权限来源层级——SHOW GRANTS 输出里的每一行，都可能是你下一步操作的前置条件。
