mysql原生不支持列级grant语法，所有版本均报error 1064；必须通过“显式字段视图+独立视图授权+禁用元数据访问”三重闭环实现字段级控制。
MySQL 原生不支持列级 GRANT（即无法直接执行 GRANT SELECT (name, email) ON users TO 'user'@'%'），试图这么写会报错 ERROR 1064。真要实现字段级访问控制，必须绕过“列权限”这个不存在的功能，用视图 + 精确授权组合落地。
MySQL 没有列级 GRANT 语法，别试了
从 5.7 到 8.0.33，所有官方文档和实际测试都确认：MySQL 不解析 SELECT (col1, col2) 这类带括号字段列表的授权语句。你看到的某些博客示例，要么是混淆了 PostgreSQL（它支持），要么是误把视图字段当成了列权限。
-
GRANT SELECT (id, name) ON db.t1 TO 'u'@'%'→ 直接报错，语法无效 -
GRANT SELECT ON db.t1 TO 'u'@'%'→ 允许查整张表所有列，无列过滤能力 - 试图用
REVOKE SELECT ON db.t1 (ssn)也无效——REVOKE同样不支持字段粒度
用视图模拟列级权限：必须显式写字段，禁用 *
这是最可靠、兼容所有 MySQL 版本的做法。核心就一条：视图定义里只写你允许用户看到的字段，且绝不用 *。
- 正确：
CREATE VIEW v_users_public AS SELECT id, username, created_at FROM users; - 错误：
CREATE VIEW v_users_public AS SELECT * FROM users;—— 基表一加password_hash，视图立刻暴露 - 后续基表结构变更（如删列、改类型）不影响视图查询，但若新增列，不会自动进视图；若删除视图中引用的列，下次查视图会报
ERROR 1054
视图权限必须单独 GRANT，不继承基表
即使用户对原表 users 完全没权限，只要被授予视图 v_users_public 的 SELECT 权限，就能查——反之，哪怕有基表权限，没授视图权限照样查不了。
- 授视图权限：
GRANT SELECT ON mydb.v_users_public TO 'analyst'@'10.20.%'; - 检查是否生效：
SHOW GRANTS FOR 'analyst'@'10.20.%';—— 输出里必须明确含该视图名 - 常见翻车：
GRANT SELECT ON mydb.users TO 'analyst'@'10.20.%';却忘了给视图授权，结果连SELECT * FROM v_users_public都报ERROR 1142: SELECT command denied
防元数据泄露：掐断 INFORMATION_SCHEMA 和 SHOW CREATE VIEW
只要用户能查 INFORMATION_SCHEMA.VIEWS 或执行 SHOW CREATE VIEW，就能看到视图里写了哪些字段、有没有 CASE WHEN 脱敏逻辑，甚至反推原始列名。这会让列级控制形同虚设。
- 禁用视图定义查看：
REVOKE SHOW VIEW ON *.* FROM 'analyst'@'10.20.%'; - 限制元数据访问（MySQL 8.0.29+）：
REVOKE SELECT ON INFORMATION_SCHEMA.VIEWS FROM 'analyst'@'10.20.%'; - 验证是否生效：用该账号登录后执行
SELECT * FROM INFORMATION_SCHEMA.VIEWS WHERE TABLE_NAME = 'v_users_public';应返回空；执行SHOW CREATE VIEW v_users_public;应报ERROR 1142
真正卡死列级访问，靠的不是某个神奇语法，而是三件事闭环：视图只写明列、视图权限独立授予、元数据访问彻底关闭。漏掉任何一环，敏感字段就可能从缝隙里漏出去。
