应使用CURRENT_USER()获取调用者身份，它返回认证时的用户名@主机名，用于权限判断；而USER()返回连接层看到的客户端信息，可能被代理篡改。
MySQL存储过程里怎么拿到调用者身份
直接用 CURRENT_USER()，不是 USER()，也不是 SESSION_USER()。它返回的是「连接认证时使用的用户名@主机名」，也就是 MySQL 权限系统真正用来做权限判断的那个身份。
CURRENT_USER() 和 USER() 的区别到底在哪
关键在「认证身份」和「声明身份」的分离。比如你用账号 app_user@'10.0.0.%' 连上数据库，但中间经过了代理或跳板机，实际连接显示为 app_user@'192.168.1.100'，USER() 就会返回后者，而 CURRENT_USER() 始终返回前者——因为权限只认这个。
-
CURRENT_USER()：查mysql.user表时匹配的那一行，决定你能执行什么 -
USER()：TCP 层看到的客户端 IP + 用户名，可能被代理篡改或不一致 - 在存储过程中做权限审计、日志记录、行级数据过滤时，必须用
CURRENT_USER()
在存储过程里安全提取用户名和主机名
别直接拼字符串或截断，MySQL 提供了标准方式拆解。注意返回值带单引号，需要清洗；另外空值情况虽少见，但上线前建议兜底。
DECLARE v_user VARCHAR(288); DECLARE v_host VARCHAR(255); SET v_user = SUBSTRING_INDEX(CURRENT_USER(), '@', 1); SET v_host = SUBSTRING_INDEX(CURRENT_USER(), '@', -1);
-
CURRENT_USER()返回形如'admin@localhost'或'api_user@10.20.30.40'的字符串 -
SUBSTRING_INDEX(..., '@', 1)取 @ 左边部分（用户名），-1取右边（主机名） - 如果连接是匿名用户（空用户名），
CURRENT_USER()会返回''@'host'，SUBSTRING_INDEX仍能正确处理
为什么在 DEFINER 存储过程中 CURRENT_USER() 依然有效
哪怕存储过程用 DEFINER = 'dba@localhost' 创建，执行时权限按定义者走，但 CURRENT_USER() 返回的仍是调用者身份——这是设计使然，不是 bug。它不参与权限判定，只反映“谁发起的这次调用”。
- 适合记录操作日志：
INSERT INTO audit_log(user, proc_name) VALUES(CURRENT_USER(), 'sp_update_order'); - 不适合做权限拦截逻辑（那得靠 SQL SECURITY 和 DEFINER/INVOKER），但可作为辅助字段打标
- 在基于租户的多实例场景中，常配合
v_user做数据分区路由，但要注意主机名部分可能含通配符（如%），不能直接用于等值匹配
实际用的时候，最容易漏掉的是主机名里的通配符和大小写敏感性——CURRENT_USER() 返回的主机名跟授权语句里写的完全一致，包括 %、_、大小写，拿来做条件判断前最好先确认格式。
