mysql支持按函数粒度授予execute权限，必须使用grant execute on function db_name.func_name语法，缺一不可；函数名须带数据库前缀，且不支持省略function关键字或误写为on database.*。
MySQL中EXECUTE权限是否支持按函数粒度授予
支持，但必须用GRANT EXECUTE ON FUNCTION语法，不能写成GRANT EXECUTE ON DATABASE.*或省略FUNCTION关键字。MySQL 5.7+ 和 8.0 都支持这种细粒度授权，但很多人误以为只能给整个数据库或过程权限，结果导致权限过大或报错ERROR 1044 (42000): Access denied for user。
关键点：函数名必须带数据库前缀，且用户必须对函数所属数据库有USAGE权限（隐式满足，不需显式授予）。
-
GRANT EXECUTE ON FUNCTION mydb.my_calc_sum TO 'appuser'@'localhost';✅ 正确 -
GRANT EXECUTE ON mydb.my_calc_sum TO ...❌ 缺少FUNCTION关键字，语法错误 -
GRANT EXECUTE ON FUNCTION my_calc_sum TO ...❌ 缺少数据库名，MySQL会报Unknown function或拒绝解析
为什么GRANT EXECUTE后仍提示“Function does not exist”或“Access denied”
常见原因不是权限没给，而是调用时上下文不匹配。MySQL在执行SELECT mydb.my_calc_sum(1,2)时，会检查当前会话默认数据库（USE mydb）或显式限定的库名，但权限校验严格依赖GRANT语句中写的完整限定名。
- 如果函数定义在
mydb，但你用SELECT my_calc_sum(1,2)（无库前缀），而当前会话没USE mydb，MySQL可能查不到函数——这不是权限问题，是解析问题 - 如果函数是
DEFINER = 'root'@'%'且SQL SECURITY DEFINER，执行时会以definer身份验证权限，此时appuser即使有EXECUTE权，也可能因definer无对应数据表权限而失败 - 确认函数存在：
SELECT ROUTINE_NAME FROM information_schema.ROUTINES WHERE ROUTINE_SCHEMA = 'mydb' AND ROUTINE_TYPE = 'FUNCTION';
如何验证某用户是否真能执行指定函数
别只信SHOW GRANTS输出，要实测。因为权限缓存、SQL SECURITY模式、甚至函数内部SELECT所依赖的表权限都会影响最终结果。
- 用目标用户连接：
mysql -u appuser -p -h localhost mydb - 先确保上下文正确：
USE mydb; - 执行测试：
SELECT mydb.my_calc_sum(10, 20);（必须带库名，避免歧义） - 若报
ERROR 1370 (42000): execute command denied to user，说明EXECUTE权限未生效，检查FLUSH PRIVILEGES;是否执行（尤其手动改过mysql.proc表时）
存储函数权限与存储过程权限的区别
语法结构一致，但对象类型关键字不同：FUNCTION vs PROCEDURE。混淆会导致授权无效。
- 授予函数执行权：
GRANT EXECUTE ON FUNCTION db.f1 TO 'u'@'h'; - 授予过程执行权：
GRANT EXECUTE ON PROCEDURE db.p1 TO 'u'@'h'; - 两者权限互不影响——给
f1的EXECUTE权不会让u能调用p1，反之亦然 - 注意：MySQL 8.0+ 中，
information_schema.ROUTINES表的ROUTINE_TYPE字段值为FUNCTION或PROCEDURE，可用于脚本批量校验
最易被忽略的是函数定义里的SQL SECURITY设置。哪怕EXECUTE权限精确授予，只要函数设为DEFINER且definer账户权限不足，调用就会静默失败或报权限错——这时候查SHOW GRANTS FOR 'definer_user'@'host'比反复重授appuser的权限更有效。
