mysql原生不支持跨云统一授权，需通过proxysql路由或keycloak+适配器实现；须规避权限漂移、缓存延迟、版本差异及云厂商限制，强调实查验证与连接池健康检查。
MySQL原生不支持跨云统一授权，硬凑会出权限漂移
MySQL本身没有跨实例、跨云环境的集中权限控制能力。你给user@'10.20.30.%'授的权限，只在当前实例生效；换到AWS RDS、阿里云RDS、自建IDC的MySQL，得各配一遍。更麻烦的是，IP段重叠、账号命名不一致、GRANT语句没同步——上线后发现某云上漏了SELECT权限，或者测试库误开了DROP，都是真实踩过的坑。
常见错误现象：Access denied for user 'app_rw'@'172.31.16.5'在AWS能连，在GCP报错；运维改完主库权限，从库没刷ACL，延迟几小时才生效。
- 别用脚本批量执行
GRANT去“模拟统一”——网络分区、执行顺序、事务隔离级别都会导致不一致 - 避免把
mysql.user表直接导出导入——不同版本字段差异大（比如8.0的password_expired在5.7不存在） - 云厂商RDS通常禁用
GRANT OPTION和CREATE USER，靠SQL语句根本走不通
用ProxySQL做权限路由中间件，实际可行但要注意认证链路
ProxySQL不是权限系统，但它能拦截连接请求，在认证阶段查外部映射表，动态改写username和backend目标，把“逻辑用户”转成各云MySQL里真实存在的账号。关键不在授权，而在“谁连上来、该转给哪个物理账号、连哪台实例”。
使用场景：应用只认app_prod这个账号，但背后对应AWS上的app_prod_aws、阿里云上的app_prod_ali，且各自密码不同。
MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。
- 必须关闭ProxySQL的
mysql-users表本地认证（设active=0），否则它会用自己的password字段校验，绕过下游MySQL -
mysql_query_rules里不能只靠username匹配——要结合destination_hostgroup和username联合判断，否则跨云同名用户会串库 - ProxySQL 2.4+ 支持
mysql_users表的use_ssl字段，但云RDS强制SSL时，必须在mysql_servers里配ssl_cert路径，否则握手失败
权限中间件选型：Keycloak + 自研适配器比开源方案更可控
市面上所谓“数据库权限中台”，很多只是把GRANT语句存进数据库再定时下发，本质还是批量执行，解决不了原子性、回滚、审计留痕问题。真正落地的团队，普遍用Keycloak管理统一身份，再写个轻量适配器监听其user-attribute-updated事件，按预设策略生成并校验各云MySQL的权限SQL。
性能影响：单次权限变更平均耗时850ms（含Keycloak API调用+各云RDS的SHOW GRANTS验证+幂等检查），比直接连MySQL慢，但换来的是可追溯、可审批、可灰度。
- 适配器必须缓存各云MySQL的
information_schema.role_edges（8.0）或mysql.proxies_priv（5.7），否则每次都要连上去查，超时风险高 - 别让Keycloak直接存MySQL密码——用
user attribute存加密后的凭证ID，由适配器去密钥管理服务（如HashiCorp Vault）拉取真实密码 - 阿里云RDS不支持
SET DEFAULT ROLE，适配器遇到role-based权限就得降级为显式GRANT，否则权限不生效
最易被忽略的点：云厂商的元数据延迟和权限缓存
所有云RDS都有权限缓存机制，且刷新时机不透明。阿里云RDS最长缓存5分钟，AWS RDS Proxy默认30秒，GCP Cloud SQL甚至依赖MySQL自身的FLUSH PRIVILEGES触发时机。你以为权限已生效，其实连接池里的长连接还在用旧ACL。
这导致最隐蔽的问题：开发本地连测试库没问题，CI流水线跑一半突然ERROR 1142 (42000): INSERT command denied——因为刚更新的权限还没刷到那个节点。
- 应用层必须配置连接池的
testOnBorrow=true和validationQuery=SELECT 1，避免复用脏连接 - 权限变更后，适配器要主动调用各云API触发刷新（如阿里云
ModifyAccountPrivilege接口带ImmediateApply=true） - 别信云控制台显示的“权限已更新”——一定要用
SHOW GRANTS FOR 'user'@'host'连上去实查，尤其注意@'%'和@'%.xxx.cloud'这种模糊匹配是否被覆盖
