mysql 8.0.13+ 可通过 password expire 控制账号有效期，如 alter user 'tmp_user'@'%' password expire at '2025-04-10 14:30:00'，但需确保 default_password_lifetime ≠ 0；过期仅阻断新登录，已存在会话不受影响；权限回收须用高权限账号执行 revoke + flush privileges，不可依赖 event 或 valid until（该语法不存在）。
MySQL 8.0+ 如何用 CREATE USER + EXPIRE 控制临时账号有效期
MySQL 本身不支持“权限自动过期”，但能通过账号生命周期控制间接实现临时访问。核心思路是：创建带密码过期时间的账号，再授予权限；账号失效后，即使密码正确也无法登录，权限自然失效。
关键限制：该机制只在 MySQL 8.0.13+ 生效，且依赖 default_password_lifetime 全局变量或显式指定 PASSWORD EXPIRE。
-
CREATE USER 'tmp_user'@'%' IDENTIFIED BY 'abc123' PASSWORD EXPIRE INTERVAL 1 DAY;—— 创建即过期的账号，1 天后首次登录就会被强制改密（此时已无法完成授权动作） - 更稳妥做法是先创建，再用
ALTER USER设定精确过期时间：ALTER USER 'tmp_user'@'%' PASSWORD EXPIRE AT '2025-04-10 14:30:00'; - 必须确保
default_password_lifetime没被设为0（永不过期），否则PASSWORD EXPIRE不生效 - 注意：过期仅影响认证，不影响已建立的连接；已有会话仍可执行操作，直到断开
用 GRANT 配合 REVOKE 脚本模拟“动态权限回收”
如果需要更细粒度（比如只让某张表读权限持续 2 小时），就得靠外部调度。MySQL 不提供定时权限开关，得自己补上这一环。
典型做法是写一个带延时的清理脚本，在授权后固定时间执行 REVOKE。别指望触发器或事件调度器自动干这事——EVENT 默认不能执行 GRANT/REVOKE，除非开启 event_scheduler=ON 且用户有 EVENT 权限，但仍受限于权限上下文。
- 推荐用外部定时任务（如 cron / Windows Task Scheduler）调用
mysql -u root -e "REVOKE SELECT ON db.tbl FROM 'tmp_user'@'%'; FLUSH PRIVILEGES;" - 避免在
EVENT中直接做权限变更：MySQL 事件运行在系统用户上下文，对权限表的修改可能被忽略或报错ERROR 1227 (42000): Access denied; you need (at least one of) the SUPER or SYSTEM_VARIABLES_ADMIN privilege(s) for this operation - 务必在
REVOKE后加FLUSH PRIVILEGES，否则权限缓存不更新，用户还能继续访问
为什么不用 VALID UNTIL？它根本不存在于 MySQL
有人会从 PostgreSQL 或 Oracle 的 VALID UNTIL 语法迁移过来，直接套用到 MySQL，结果报错：ERROR 1064 (42000): You have an error in your SQL syntax。
MySQL 从未实现这个语法。所有试图写 CREATE USER ... VALID UNTIL '2025-04-10' 的操作都会失败。唯一接近的机制就是上面说的密码过期（PASSWORD EXPIRE），但它控制的是登录能力，不是权限本身。
- 错误示例：
CREATE USER 'test'@'%' IDENTIFIED BY 'x' VALID UNTIL '2025-04-10';→ 语法错误 - 正确替代：
CREATE USER 'test'@'%' IDENTIFIED BY 'x'; ALTER USER 'test'@'%' PASSWORD EXPIRE AT '2025-04-10 00:00:00'; - 别混淆
ACCOUNT LOCK和过期：锁账户是手动禁用，不会自动恢复；过期是时间驱动，但需用户下次登录时响应
权限回收漏掉 FLUSH PRIVILEGES 是最常踩的坑
很多人执行完 REVOKE 就以为结束了，结果发现用户还能查数据。原因几乎全是忘了刷新权限表缓存。
MySQL 启动时把权限加载进内存，后续 GRANT/REVOKE 只改磁盘上的 mysql.user 等表，不自动同步到内存。必须显式触发刷新。
-
FLUSH PRIVILEGES;是唯一可靠方式，service mysql reload或重启太重，不推荐 - 在存储过程或事件里执行
FLUSH PRIVILEGES会报错：ERROR 1227 (42000): Access denied，因为该命令需要RELOAD权限，而普通账号通常没有 - 所以自动化回收必须由高权限账号（如 root）执行，或走外部脚本调用
真正难的不是写那几行 GRANT，而是把时间、权限、缓存、上下文这四层对齐。少一步，临时权限就变成永久后门。
