备份账号需至少SELECT、LOCK TABLES、SHOW VIEW、TRIGGER权限；若用--single-transaction还需REPLICATION CLIENT；EVENT为可选；应按最小权限原则针对具体库授权，禁用全局ALL PRIVILEGES。
备份账号需要哪些最小权限才能用 mysqldump 正常工作
只给 SELECT 权限是不够的，mysqldump 默认会尝试加表锁、查元数据、处理视图和存储过程，缺权限就直接报错退出。真实场景下，一个能跑通全库逻辑备份（不含 --single-transaction）的账号，至少要这些：
-
SELECT：读取所有待备份表的数据 -
LOCK TABLES：让mysqldump能执行FLUSH TABLES WITH READ LOCK或显式LOCK TABLES ... READ（尤其在非事务引擎如 MyISAM 下必须） -
SHOW VIEW：否则 dump 视图时会报Access denied; you need (at least one of) the SHOW VIEW privilege(s) for this operation -
TRIGGER：否则带触发器的表 dump 会失败，报Access denied; you need (at least one of) the TRIGGER privilege(s) -
EVENT（可选）：如果库中有事件调度器任务，且你希望 dump 出来，就得加这个
注意：RELOAD 权限不是必须的——它只在你要用 --flush-logs 或 FLUSH LOGS 时才需要；普通备份不用。
为什么不用 GRANT ALL PRIVILEGES ON *.* 给备份账号
因为太宽泛，等于给了 DROP DATABASE、CREATE USER、SHUTDOWN 等高危权限，一旦账号泄露或配置错误，后果严重。线上备份账号应严格遵循“最小权限原则”，只对目标数据库（比如 app_db）授权，而不是全局。
- 正确做法：
GRANT SELECT, LOCK TABLES, SHOW VIEW, TRIGGER ON app_db.* TO 'backup_user'@'10.20.30.%'; - 错误做法：
GRANT ALL PRIVILEGES ON *.* TO 'backup_user'@'%';（暴露整个实例） - 如果要用
--single-transaction（推荐用于 InnoDB），LOCK TABLES可省略，但SELECT必须有，且账号需有REPLICATION CLIENT权限——因为mysqldump会调用SELECT @@global.gtid_mode和SHOW MASTER STATUS等，否则可能报Access denied; you need (at least one of) the REPLICATION CLIENT privilege(s)
LOCK TABLES 权限的实际影响和常见卡点
LOCK TABLES 不是“锁整个库”的魔法开关，它只是允许用户执行 LOCK TABLES t1 READ, t2 READ 这类语句。但真正决定备份一致性的，是 mysqldump 的参数组合和存储引擎行为。
MySQL8 CRM Schema Design Expert
下载
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
- MyISAM 表必须依赖
LOCK TABLES+FLUSH TABLES WITH READ LOCK才能保证一致性；没这个权限，dump 直接失败 - InnoDB 表在启用
--single-transaction时，会绕过LOCK TABLES，改用一致性快照，此时该权限可不给——但要注意：如果库中混有 MyISAM 表，mysqldump仍会尝试加锁，没权限就崩 - 常见错误现象：
mysqldump: Got error: 1045: Access denied for user 'backup_user'@'10.20.30.5' (using password: YES) when using LOCK TABLES，基本就是漏了LOCK TABLES或权限没刷到（别忘了FLUSH PRIVILEGES;）
备份账号权限验证的实操检查项
别等半夜 dump 失败才排查，上线前用几条命令快速验权限是否真生效：
- 连上去后执行：
SHOW GRANTS FOR 'backup_user'@'10.20.30.%';，确认输出里有对应库的SELECT、LOCK TABLES等行 - 手动模拟 dump 关键动作：
LOCK TABLES mysql.user READ;（测试LOCK TABLES）、SHOW CREATE VIEW information_schema.SCHEMATA;（测SHOW VIEW）、SELECT * FROM mysql.triggers LIMIT 1;（测TRIGGER） - 用最小参数试跑一次：
mysqldump --no-create-info --skip-triggers --skip-events -h db-host -u backup_user -p app_db users > /dev/null，成功说明核心权限 OK
权限粒度越细，出问题时定位越快；但反过来，漏掉任意一个实际用到的权限，mysqldump 都不会温柔提示，而是直接中断并甩一句模糊的 Access denied——得靠上面这几步提前堵住。
