应使用 SHOW GRANTS FOR 'user'@'host' 逐用户导出权限，因其自动合并全局、库、表、列级权限并输出可执行SQL；mysqlpump --users 可批量导出但不支持角色和PROXY权限；MySQL 8.0+需额外处理角色定义、角色权限及用户绑定关系。
如何从 mysql.user 表生成用户权限导出脚本
直接查 mysql.user 表不能完整还原权限，因为权限分散在多个系统表中：mysql.user 只存全局级权限（如 SELECT_priv、Grant_priv），而库级、表级、列级权限分别存在 mysql.db、mysql.tables_priv、mysql.columns_priv 等表里。只拼 CREATE USER + GRANT 语句从 user 表取字段，大概率漏权限甚至报错。
用 SHOW GRANTS FOR 'user'@'host' 才可靠
MySQL 官方推荐方式是逐个调用 SHOW GRANTS，它自动合并所有层级的权限并输出可执行 SQL。批量操作需结合查询结果动态拼接：
SELECT CONCAT('SHOW GRANTS FOR ''', user, '''@''', host, ''';')
FROM mysql.user
WHERE user != '';
把上面结果复制进 MySQL 客户端执行，或用脚本（如 Python / shell）捕获输出。注意：
-
user和host字段要严格按实际值引号包裹，单引号必须转义（''） - 匿名用户（
user = ''）不能被SHOW GRANTS识别，需跳过或单独处理 - 若用户有
WITH GRANT OPTION，SHOW GRANTS会原样带出，无需额外判断
mysqldump 不支持导出权限，但 mysqlpump 可以（MySQL 5.7+）
mysqlpump 是官方替代 mysqldump 的工具，支持权限导出：
mysqlpump --no-data --exclude-databases=% --users
关键参数说明：
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
-
--no-data：不导出表数据 -
--exclude-databases=%：排除所有数据库，只保留系统库（含mysql） -
--users：显式导出用户和权限（生成CREATE USER+GRANT）
⚠️ 注意：mysqlpump 默认不导出 mysql 库的表结构，所以必须加 --users 触发权限逻辑；且它不会导出 PROXY 权限或角色（MySQL 8.0+），这类需额外处理。
MySQL 8.0+ 要额外考虑角色（role）和密码历史
8.0 引入角色后，权限可能通过 GRANT role_name TO user 绑定，SHOW GRANTS 会显示，但单纯查 mysql.user 完全看不到。导出时必须确保：
- 先导出角色定义（
CREATE ROLE） - 再导出角色的权限（
SHOW GRANTS FOR ROLE 'xxx'） - 最后导出用户对角色的绑定关系
密码策略相关字段（如 password_reuse_history）也无法通过 SQL 还原，只能靠 mysqlpump --users 或手动备份 mysql.user 表数据——但这属于高危操作，生产环境不建议直接 dump 系统表。
真正安全的批量导出，永远依赖 SHOW GRANTS 的逐用户执行，其他方式都是妥协。别图省事写个 SELECT 拼字符串，线上权限一旦漏一条，排查成本远高于多跑两秒脚本。
