alter user 不能批量修改权限，仅支持修改账户属性；mysql 8.0+ 应使用角色（role）实现批量权限管理，需创建角色、授权并绑定用户；5.7 及更早版本只能通过脚本生成 grant/revoke 语句。
ALTER USER 不能批量改权限，别被语法误导
很多人看到 ALTER USER 支持多个用户写法（如 ALTER USER 'u1'@'h1', 'u2'@'h2' ...），就以为能批量改权限——其实不能。ALTER USER 只能修改账户属性：密码、认证插件、SSL 要求、账户锁定状态等，**不处理任何对象级权限（如 SELECT、INSERT）**。试图用它加 GRANT OPTION 或改数据库访问范围，会直接报错或静默忽略。
常见误操作：
- 执行
ALTER USER 'app'@'10.%.%' IDENTIFIED WITH mysql_native_password BY 'xxx' GRANT OPTION;→ 语法错误，GRANT OPTION不是ALTER USER的合法子句 - 执行
ALTER USER 'dev'@'localhost' REQUIRE X509;后发现用户仍无法 SELECT → 因为 REQUIRE 只影响连接认证，和权限无关，SELECT 权限得另用GRANT补
MySQL 8.0+ 批量改权限的唯一可靠路径：角色（ROLE）
真正能“批量更新权限”的，只有 MySQL 8.0+ 的角色机制。它的本质不是给每个用户重跑一遍 GRANT，而是把权限打包成一个逻辑单元，再统一绑定/解绑。关键点在于：权限变更只发生在角色定义层，所有已绑定该角色的用户自动继承新权限（下次新建连接时生效）。
必须走完这三步，缺一不可：
-
CREATE ROLE 'api_reader';（角色名必须带单引号） -
GRANT SELECT ON app_db.* TO 'api_reader';（ON后必须明确库名，ON *.*是全局，ON *.table非法） -
GRANT 'api_reader' TO 'svc1'@'%', 'svc2'@'%', 'svc3'@'%';（可一次绑定多个用户，但主机名必须精确匹配）
之后要新增查询权限？只需 GRANT SELECT ON logs_db.* TO 'api_reader';；要禁用删除能力？REVOKE DELETE ON app_db.* FROM 'api_reader';。不用碰任何一个用户账号。
MySQL 5.7 及更早版本：只能脚本生成 GRANT/REVOKE，没有捷径
5.7 没有 CREATE ROLE，硬写会报 ERROR 1064 (42000)。此时批量改权限 = 手动或脚本生成一批 GRANT 和 REVOKE 语句，逐条执行。重点不是“怎么写”，而是“怎么保安全”：
- 先查出目标用户的当前权限：
SHOW GRANTS FOR 'user'@'host';，避免误删关键权限（比如不小心REVOKE ALL后没补回USAGE，用户连登录都失败） - 用
SELECT CONCAT(...)动态拼接语句，例如把所有@'192.168.%'用户的 INSERT 权限撤掉：SELECT CONCAT('REVOKE INSERT ON app.* FROM ''', user, '''@''', host, ''';') FROM mysql.user WHERE host LIKE '192.168.%'; - 每条
GRANT后加FLUSH PRIVILEGES;（虽然通常自动刷新，但在批量场景下显式调用更稳妥，尤其当脚本中途出错时能确保已执行部分生效） - 禁止在脚本里硬编码密码；若需创建用户，用
CREATE USER 'u'@'h' IDENTIFIED WITH caching_sha2_password BY 'xxx';（MySQL 8.0+ 默认）
权限生效延迟最常被忽略的两个点
执行完 GRANT 或角色绑定后，开发反馈“还是没权限”，八成卡在这两个地方：
- 连接未重建：MySQL 权限快照只在 TCP 连接建立时加载一次。已有连接（包括应用连接池里的空闲连接）不会自动更新。HikariCP、Druid 等池化连接必须重启服务或清空连接池才能生效
-
主机名不匹配：用户定义是
'app'@'10.0.1.%'，但客户端实际连的是10.0.2.100，根本找不到该账号，直接报Access denied for user，而不是权限不足。务必用SELECT user, host FROM mysql.user;核对 host 字段是否覆盖真实来源 IP 段
角色权限还多一个坑：如果启用了 PARTIAL REVOKES（查 SELECT @@global.partial_revokes;），某些 GRANT 可能被拦截并报 ERROR 3790，此时必须先 REVOKE 再 GRANT，不能跳步。
