MySQL 5.7如何实现跨库授权_在GRANT中使用通配符星号点星号-mysql教程-PHP中文网

grant all on . 不是跨库授权，而是全局权限；正确做法是分多条grant语句显式授予各目标库权限，如grant select on sales. to 'user'@'host'; grant select on inventory. to 'user'@'host'; 并用反引号包裹通配符库名。

mysql 5.7如何实现跨库授权_在grant中使用通配符星号点星号

GRANT ALL ON . 是跨库授权吗

不是。它确实是“所有数据库所有表”，但本质是全局权限，不等于跨库访问控制所需的最小权限集。真正跨库场景下，用户往往只需要访问几个指定库（比如 sales 和 inventory），而不是整个实例。用 ALL ON *.* 会绕过库级权限检查，也违反最小权限原则，还可能被安全审计直接否决。

给用户同时授权多个数据库的正确写法

MySQL 不支持一条 GRANT 语句里写多个数据库名，必须拆成多条语句，每条对应一个库。否则会报错 ERROR 1064 (42000) 或权限未生效。

先确保用户已存在（MySQL 5.7 虽可隐式创建，但显式 CREATE USER 更可控）：
```
CREATE USER 'reporter'@'192.168.1.%' IDENTIFIED BY 'p@ssw0rd';
```

再逐库授权（注意末尾的 .* 不能省）：

GRANT SELECT, EXECUTE ON sales.* TO 'reporter'@'192.168.1.%';<br>GRANT SELECT, EXECUTE ON inventory.* TO 'reporter'@'192.168.1.%';

最后刷新权限：
```
FLUSH PRIVILEGES;
```

用通配符匹配数据库名时的坑

MySQL 允许在 GRANT 的数据库名位置使用 % 和 _，但仅限于数据库名本身，且必须用反引号包裹，否则语法错误或匹配失败。

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

想授权所有以 log_ 开头的库：

GRANT SELECT ON `log_%`.* TO 'logger'@'localhost';

反引号不可省略：写成 log_%.* 会被当作文本字面量，导致权限不生效
_ 是单字符通配符，`log__` 匹配 log_a、log_1，但不匹配 log_test
通配符只在 GRANT 语句中有效；查询 mysql.db 表时看到的是展开后的实际库名，不是模式

跨库查询失败但权限看似正常？检查 EXECUTE 和 DEFINER

如果用户能查 sales.orders，却无法执行 inventory.get_stock() 存储过程，大概率缺 EXECUTE 权限，或该过程定义为 DEFINER = 'root'@'localhost' 且用户没被授予 PROXY 权限。

存储过程/函数/视图跨库调用，目标库需显式授 EXECUTE 或 SELECT：
```
GRANT EXECUTE ON FUNCTION inventory.get_stock TO 'reporter'@'192.168.1.%';
```
若过程用 SQL SECURITY DEFINER，调用者权限不继承，必须确保 DEFINER 用户存在且有对应权限，或改用 SQL SECURITY INVOKER
权限验证别只信 SHOW GRANTS，用实际账号登录后执行 SELECT * FROM sales.orders LIMIT 1; 和 CALL inventory.get_stock(); 双重确认