不能直接drop user+grant，因会中断连接、漏权限致静默故障、硬编码用户名需发版停服、host动态性引发连通问题、caching_sha2_password认证失败；双账号法通过三步平滑过渡。
直接替换用户权限会中断业务，必须用双账号授权法过渡——即在目标库预置新账号、保留旧账号并行运行、灰度切流、验证无误后再下线旧账号。
为什么不能直接 DROP USER + GRANT 一把梭
生产环境里，DROP USER 会立即踢掉所有活跃连接，应用报 Lost connection to MySQL server during query；而 GRANT 覆盖式重建权限时，若漏掉某条 WITH GRANT OPTION 或某张视图的 EXECUTE 权限，下游服务可能静默失败数小时才暴露。更麻烦的是：应用配置里硬编码了用户名，改名=发版=停服。
- 旧账号（如
'app_rw'@'10.20.%'）通常被几十个微服务共用，无法统一改配置 - 权限语句里含动态 host（如
'%'、'10.20.%.%'），直接迁移后可能因 DNS 解析延迟或防火墙策略导致部分实例连不上 - MySQL 8.0+ 的
caching_sha2_password插件在旧连接池未刷新前，新账号即使密码一致也会认证失败
双账号授权法：三步走，不改代码、不中断连接
核心是让新旧账号“同权不同名”，靠权限映射而非账号替换实现平滑。
-
第一步：在目标库创建新账号，但先不授任何权限
执行CREATE USER 'app_rw_v2'@'10.20.%' IDENTIFIED BY 'xxx';，注意 host 段与旧账号完全一致（别写成'%'，否则绕过网络隔离） -
第二步：用 SHOW GRANTS 原样复制权限，但目标改为新账号
在源库执行：SELECT CONCAT('GRANT ', SUBSTRING_INDEX(SUBSTRING_INDEX(Grants, ' TO ', -1), ' IDENTIFIED', 1), ' TO ''app_rw_v2''@''10.20.%'';') FROM (SELECT REPLACE(GRANT, 'app_rw', 'app_rw_v2') AS Grants FROM (SELECT TRIM(TRAILING ';' FROM SUBSTRING_INDEX(GRANT, ' TO ', 1)) AS GRANT FROM (SELECT SUBSTRING_INDEX(SUBSTRING_INDEX(SHOW_GRANTS, ' TO ', -1), ';', 1) AS GRANT FROM (SELECT CONCAT('SHOW GRANTS FOR ''app_rw''@''10.20.%'';') AS SHOW_GRANTS) t) t2) t3) t4) t5;—— 实际操作中建议用脚本提取原始SHOW GRANTS FOR 'app_rw'@'10.20.%'输出，再全局替换用户名和 host -
第三步：应用侧灰度切流，验证新账号行为
从非核心服务开始，修改其数据库连接字符串为app_rw_v2；用SELECT USER(), CURRENT_USER();确认实际登录身份；观察慢日志里是否有Access denied或权限不足报错
容易踩的坑：host、plugin、sql_mode 三个雷区
双账号看似简单，但 90% 的失败都卡在这三处。
-
host必须精确匹配：旧账号是'app_rw'@'10.20.1.%'，新账号就不能写成'app_rw_v2'@'%'，否则会被mysql.user中更宽泛的规则优先匹配，导致权限继承异常 -
plugin不一致会静默失败：用SELECT plugin FROM mysql.user WHERE user = 'app_rw_v2';检查是否为caching_sha2_password；如果目标库版本是 5.7，需提前执行ALTER USER 'app_rw_v2'@'10.20.%' IDENTIFIED WITH mysql_native_password BY 'xxx'; -
sql_mode影响GRANT语法：目标库若启用了NO_AUTO_CREATE_USER（5.7 默认已移除，但某些定制镜像仍存在），执行GRANT ... TO会报错ERROR 1133 (42000): Can't find any matching row in the user table，此时需先CREATE USER再GRANT
下线旧账号前必须做的四件事
确认新账号稳定运行至少 48 小时后，才能清理旧账号，但清理本身也有讲究。
- 先在目标库执行
SELECT COUNT(*) FROM information_schema.PROCESSLIST WHERE USER = 'app_rw';，确保返回 0 —— 说明所有连接池已刷新完毕 - 用
pt-kill --user app_rw --idle-time 60 --kill主动干掉残留长连接（避免半夜自动重连） -
DROP USER必须带完整 host：DROP USER 'app_rw'@'10.20.%';，漏掉 host 会导致残留空账号，后续CREATE USER报错 - 最后执行
FLUSH PRIVILEGES;—— 虽然GRANT/DROP USER通常自动刷新，但在高并发场景下内存权限缓存可能滞后
真正难的不是生成那几条 GRANT 语句，而是确认每个 @host 组合在网络层、DNS 层、连接池层、MySQL 认证层全部对齐；一旦某个环节 host 解析结果和预期不一致，权限就变成黑盒。
