应根据连接方式选择：本地socket连接用'localhost'，远程TCP连接用具体IP或内网段（如'10.20.%.%'），禁用'%'；'user'@'localhost'与'user'@'%'是两个独立账号，需分别授权。
GRANT 语句里 host 部分写 '%' 还是 'localhost'？
MySQL 的权限是 user@host 两级组合判定的，'user'@'%' 和 'user'@'localhost' 是两个完全独立的账号，哪怕密码相同也互不影响。本地连接默认走 socket（触发 localhost 匹配），远程连接走 TCP（匹配 % 或具体 IP）。常见错误是只授了 'user'@'%'，结果本地用 mysql 命令登录失败，报 Access denied for user 'user'@'localhost'。
实操建议：
- 如需本地 + 远程统一管理，直接创建
'user'@'localhost'和'user'@'%'两个账号，并分别GRANT - 生产环境避免用
'user'@'%'，改用具体内网段，例如'user'@'10.20.%.%' - 确认当前连接来源：执行
SELECT USER(), CURRENT_USER();，前者是「你声称是谁」，后者是「MySQL 实际认出的账号」，两者常不一致
只允许 SELECT 但禁止 SHOW CREATE TABLE 怎么办？
MySQL 的权限粒度不支持“禁用某个元数据命令但保留数据操作”。SELECT 权限本身不隐含对表结构的读取能力，但客户端工具（如 MySQL Workbench、Navicat）或 ORM 在执行 SELECT 前常自动发 SHOW CREATE TABLE 或 DESCRIBE，而这些依赖 SELECT 权限以外的权限（如 SHOW VIEW、ALTER 等）或直接被拒绝。
实操建议：
-
SHOW CREATE TABLE需要该表的SELECT权限 —— 所以只要没给SELECT，它就自然失败；但若已授SELECT，该语句默认允许 - 真正能限制结构暴露的是
mysql系统库访问：撤销对mysql.tables、mysql.columns的SELECT，并确保用户无PROCESS或SUPER权限 - 更可靠的做法是用视图封装：只授权查视图
GRANT SELECT ON db.v_user_info TO 'app'@'%';，底层表不暴露
REVOKE 后权限没立刻失效？
MySQL 8.0+ 默认启用权限缓存（flush privileges 不再强制重载），REVOKE 操作本身会立即更新权限系统表（mysql.role_edges、mysql.tables_priv 等），但当前已建立的连接仍使用旧权限快照，直到连接断开或显式执行 FLUSH PRIVILEGES（仅影响新连接）。
实操建议：
-
REVOKE后无需手动FLUSH PRIVILEGES，那是为直接修改系统表后补救用的 - 要让现有连接立即降权，只能 kill 连接：
KILL CONNECTION <id></id>（查SHOW PROCESSLIST获取） - 长期运维应避免频繁
GRANT/REVOKE，改用角色（CREATE ROLE+SET DEFAULT ROLE）统一管理，变更角色权限即可批量生效
能否按列限制 UPDATE 权限？
可以，但仅限于标准 SQL 语法且 MySQL 8.0.16+ 支持。例如：GRANT UPDATE (name, email) ON db.users TO 'editor'@'%';。注意这不是“禁止更新其他列”，而是“只允许更新指定列”——如果语句中出现未授权列（如 UPDATE users SET name='a', created_at=NOW();），整个语句会被拒绝，报错 ERROR 1142 (42000): UPDATE command denied to user ... for column 'created_at'。
实操建议：
- 列级权限只在 DML 中生效（
UPDATE/INSERT），SELECT无法按列授权（要么全表，要么用视图） - 列名必须显式列出，不支持通配符或正则
- 复合操作易踩坑：比如
INSERT INTO t VALUES (...)若省略字段列表，MySQL 会按表定义顺序匹配，一旦某列无权限就失败；务必写全字段名
权限体系真正的复杂点不在语法，而在权限叠加逻辑和连接上下文判断。一个用户可能同时匹配多个 user@host 规则，MySQL 取最具体的那条（host 越精确优先级越高，'user'@'127.0.0.1' > 'user'@'localhost' > 'user'@'%'），而这个过程不可见、难调试。上线前务必用目标账号连入后执行 SHOW GRANTS; 确认最终生效权限。
