dba账号不应使用grant all privileges on .，因其隐含grant option、file等高危权限；应显式授予select、insert、update、delete、create、drop、alter、index、create view、show view、execute、reload、process、show databases、lock tables等最小必要权限，并绑定可信网段、禁用root@'%'、mysql 8.0需先create user再grant且必须flush privileges。
DBA账号不该直接用GRANT ALL PRIVILEGES
直接给DBA账号GRANT ALL PRIVILEGES ON *.*看似省事，实则埋雷：它隐式包含GRANT OPTION、FILE、SHUTDOWN等高危权限，一旦账号泄露或误操作，可能删库、读取系统文件、停服。真正可控的DBA权限，是显式列出必需项，排除危险项。
只授必要权限：用GRANT明确指定最小集合
MySQL 8.0+ 推荐用以下组合替代ALL，覆盖日常DBA操作但不越界：
-
SELECT, INSERT, UPDATE, DELETE：操作业务数据（必须） -
CREATE, DROP, ALTER, INDEX, CREATE VIEW, SHOW VIEW：建表、改结构、管视图（按需） -
EXECUTE：调用存储过程/函数（若业务依赖） -
RELOAD, PROCESS, SHOW DATABASES：查状态、刷缓存、看库列表（运维刚需） -
LOCK TABLES：必要时手动加锁（慎开，避免阻塞）
示例命令（假设DBA用户名为dba_admin，仅允许内网访问）：
CREATE USER 'dba_admin'@'192.168.10.%' IDENTIFIED BY 'StrongP@ssw0rd2026!'; GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, DROP, ALTER, INDEX, CREATE VIEW, SHOW VIEW, EXECUTE, RELOAD, PROCESS, SHOW DATABASES, LOCK TABLES ON *.* TO 'dba_admin'@'192.168.10.%'; FLUSH PRIVILEGES;
注意：GRANT OPTION不要加——否则该账号能再授予权限，破坏权限收敛原则。
禁止远程root登录 + 强制主机白名单
即使权限收得再紧，开放'%'主机意味着任何IP都能连。真实生产环境必须绑定可信网段：
- 用
'192.168.10.%'代替'%'，限制在运维网段 - 本地DBA工具（如DBeaver）应配置SSH隧道，而非直连公网MySQL端口
- 检查
mysql.user表确认没有残留的root@'%'记录：SELECT user, host FROM mysql.user WHERE user = 'root' AND host = '%';
如果发现，立刻DROP USER 'root'@'%';并FLUSH PRIVILEGES;。
MySQL 5.7 vs 8.0 的CREATE USER和GRANT行为差异
MySQL 8.0 默认禁用“授权即建用户”模式，GRANT ... TO 'xxx'@'host'若用户不存在会报错；而5.7会静默创建。这导致脚本迁移时容易失败：
- MySQL 8.0 必须先
CREATE USER，再GRANT - 密码加密方式不同：8.0 默认用
caching_sha2_password，旧客户端可能连不上，需显式指定：IDENTIFIED WITH mysql_native_password BY 'xxx' - 角色（
ROLE）在8.0才正式可用，可考虑把DBA权限封装成角色再分配，更易复用和审计
最容易被忽略的是：权限变更后必须执行FLUSH PRIVILEGES;，否则新权限不会生效——这不是可选项，是硬性要求。
