mysql 8.0中grant语句不再支持identified by，因其彻底移除了隐式创建用户功能，必须先用create user（可指定mysql_native_password插件）创建用户，再用grant单独授权，且用户管理与权限控制全面解耦。
MySQL 8.0的GRANT不再支持IDENTIFIED BY
因为语法被拆分了——GRANT语句在MySQL 8.0中彻底移除了创建用户和设密码的能力。你写GRANT ... TO 'u'@'h' IDENTIFIED BY 'p'会直接报错：ERROR 1064 (42000): You have an error in your SQL syntax。
这不是bug，是官方强制的权限模型重构：用户身份（who）和权限策略（what they can do）必须解耦。CREATE USER负责注册身份+认证方式，GRANT只管授权。
常见错误现象：
- 沿用MySQL 5.7习惯，在GRANT里写
IDENTIFIED BY，执行失败 - 误以为
GRANT ALL ON *.* TO 'u'@'h'会自动创建用户，结果提示ERROR 1396 (HY000): Operation CREATE USER failed
CREATE USER必须显式指定认证插件
MySQL 8.0默认用caching_sha2_password，但很多老客户端（如旧版MySQL Workbench、某些Java驱动）不支持它，连不上就会报ERROR 1251。
所以创建用户时，强烈建议显式指定mysql_native_password：
CREATE USER 'appuser'@'%' IDENTIFIED WITH mysql_native_password BY 'p@ssw0rd';
如果不加IDENTIFIED WITH ...，MySQL会按全局default_authentication_plugin设置走，而8.0默认值就是caching_sha2_password。
注意点：
-
IDENTIFIED BY和IDENTIFIED WITH ... BY不能混用；后者才是8.0合规写法 - 如果已存在用户但认证插件不对，用
ALTER USER 'u'@'h' IDENTIFIED WITH mysql_native_password BY 'p'改 - 改完必须
FLUSH PRIVILEGES（虽然多数情况不用，但改认证插件后建议刷一次）
REVOKE撤销权限可能触发SYSTEM_USER权限检查
当你对一个有SYSTEM_USER权限的用户执行REVOKE（比如REVOKE ALL ON *.* FROM 'u'@'%'），会报ERROR 1227 (42000): Access denied; you need (at least one of) the SYSTEM_USER privilege(s)。
这是因为MySQL 8.0.16+把用户管理本身也纳入权限控制——要修改带SYSTEM_USER的账户，操作者自己也得有这个权限。
解决路径只有两个：
- 用该用户自己登录，执行
REVOKE（比如u自己登上去撤自己的权） - 先给操作账号（如root）加上
SYSTEM_USER：GRANT SYSTEM_USER ON *.* TO 'root'@'localhost'
别漏掉ON *.*——这个权限没有数据库粒度，只能全局授予。
撤销CREATE/ALTER权限后仍能建表？查GRANT OPTION和部分撤销
执行了REVOKE CREATE, ALTER ON db.* FROM 'u'@'h'，但用户还是能CREATE TABLE，大概率是以下三个原因：
- 该用户有
GRANT OPTION，之前被别人用WITH GRANT OPTION授过权，权限没被完全覆盖 - 用户属于某个角色（role），而角色本身有
CREATE权限，且角色已激活 - 开启了
partial_revokes，但你只撤了db.*，没撤db.table_name或*.*，权限叠加生效
验证方法固定两步：
SHOW GRANTS FOR 'u'@'h'; —— 看所有显式授权
SELECT * FROM mysql.role_edges WHERE TO_HOST = 'u'@'h'; —— 查是否继承自角色
真正禁止建表，必须同步撤掉CREATE、DROP、ALTER、INDEX，因为TRUNCATE依赖DROP + CREATE，RENAME依赖ALTER或DROP + CREATE。
