普通账户能创建用户是因为被授予create user权限且含with grant option；必须用revoke完整撤回原授权以清除转授权，同时检查角色、proxy及下游已授予权限。
普通账户还能创建用户？先查清是谁给的权限
普通账户能创建新用户，说明它被授予了 create user 权限，且很可能还带 with grant option —— 这才是问题核心。光 revoke create user 不够，必须同时回收“转授权力”，否则该账户仍可把权限再授给别人，甚至绕过限制新建用户。
GRANT OPTION 不是独立权限，得和原权限一起 revoke
MySQL 不支持单独回收 GRANT OPTION。你必须用 REVOKE ... FROM 语句，把带 WITH GRANT OPTION 的那条原始授权完整撤回。常见错误是只 revoke 权限却不提 GRANT OPTION，结果权限还在、转授能力也还在。
实操建议：
- 先查清楚谁给了权限：
SELECT * FROM mysql.user WHERE User = 'baduser' \G
关注Grant_priv字段（注意：这是全局 GRANT 权限，不是某条授权的 grant option） - 更准确的方式是查授权历史或用
SHOW GRANTS FOR 'baduser'@'%'，看输出里是否含WITH GRANT OPTION - 执行回收时，必须复刻原授权语句结构：
REVOKE CREATE USER ON *.* FROM 'baduser'@'%';
如果原授权带WITH GRANT OPTION，这条命令会一并清除它
回收后还要检查 proxy 用户和角色间接授权
MySQL 8.0+ 支持角色（ROLE）和代理用户（PROXY），普通账户可能通过角色继承 CREATE USER，或被设为其他用户的 proxy 而获得隐式权限。这类路径不会出现在 SHOW GRANTS 的直出结果里。
容易踩的坑：
-
SHOW GRANTS默认只显示直接授予该用户的权限，不展开角色内容 - 要用
SHOW GRANTS FOR 'baduser'@'%' USING 'role_name';检查角色叠加效果 - 检查 proxy 关系：
SELECT * FROM mysql.proxies_priv WHERE User = 'baduser';
- 若用户属于某个角色，记得连角色的权限也清理：
REVOKE CREATE USER ON *.* FROM 'myrole';
回收 GRANT OPTION 后，已转授的权限不会自动消失
这是最容易被忽略的一点：你回收了 A 用户的 GRANT OPTION，但 A 之前已用它把 CREATE USER 授给了 B 用户——B 的权限依然有效，且 B 自己也可能有 GRANT OPTION。
所以真正要禁绝新建用户，得做两件事：
- 逐个 revoke 所有已知被转授的下游账户的
CREATE USER权限 - 确认没有启用
activate_all_roles_on_login这类全局配置，否则角色权限可能在登录时自动激活 - 如果环境允许，建议统一改用最小权限原则：普通业务账户一律不配
CREATE USER，改由专用运维账号 + 审批流程操作
权限链一旦形成就容易脱管，GRANT OPTION 就像一把能复制钥匙的钥匙，回收它不等于销毁所有副本。
