如何在MySQL中设置用户只能访问具有特定前缀的数据库？-mysql教程-PHP中文网

MySQL不支持数据库名通配符授权，因GRANT语法中ON后的数据库名仅接受字面量或.，不支持LIKE模式；app_%.*会被解析为具体库名而非模式匹配，需动态生成语句或使用角色管理。

如何在mysql中设置用户只能访问具有特定前缀的数据库？

MySQL 原生不支持「数据库名通配符授权」，比如 GRANT ALL ON `app_%`.* 这种写法会直接报错 ERROR 1064 (42000)。必须为每个匹配的库单独授权，或用脚本动态生成语句。

为什么不能用 `app_%.*` 直接授权

MySQL 的 GRANT 语法中，ON 后面的数据库名部分只接受字面量（如 myapp1.*）或通配符 *.*，不支持 LIKE 模式或正则。哪怕你用反引号包住 `app_%`.*，解析器也会把它当作一个叫 app_% 的具体库名去查 —— 而不是模式匹配。

常见错误现象：

执行 GRANT SELECT ON `app_%`.* TO 'u'@'localhost'; → 报错 Unknown database 'app_%'
误以为加了反引号就能通配 → 实际只是在创建一个名字带下划线和百分号的库

可行方案：用 SQL 生成批量 `GRANT` 语句

如果你已有若干前缀为 app_ 的库（如 app_v1、app_v2、app_staging），可通过查询 information_schema.SCHEMATA 动态拼出授权语句：

SELECT CONCAT('GRANT SELECT, INSERT ON `', schema_name, '`.* TO ''u''@''localhost'';') 
FROM information_schema.SCHEMATA 
WHERE schema_name LIKE 'app_%' 
  AND schema_name NOT IN ('app_template', 'app_test');

复制输出结果，逐条执行；或导出后用 source 批量导入。注意：

必须确保目标库已存在，否则 GRANT 会失败
schema_name NOT IN 用于排除不想授权的库（如模板库）
生成的语句末尾要手动补上 FLUSH PRIVILEGES;

撤销权限时必须逐库操作

你无法用一条 REVOKE 撤掉所有 app_% 库的权限。例如：

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

❌ 错误：REVOKE ALL ON `app_%`.* FROM 'u'@'localhost'; → 报错 There is no such grant defined
✅ 正确：先 SHOW GRANTS FOR 'u'@'localhost'; 查出已授的库，再对每个库执行 REVOKE SELECT ON app_v1.* FROM 'u'@'localhost';

如果库数量多，同样建议用 SELECT CONCAT('REVOKE ...') 生成语句，避免漏项。

长期维护建议：用角色（MySQL 8.0+）或应用层隔离

MySQL 8.0 开始支持角色（ROLE），可把多个库的权限打包成一个角色，再赋给用户：

CREATE ROLE app_developer;
GRANT SELECT, INSERT ON app_v1.* TO app_developer;
GRANT SELECT, INSERT ON app_v2.* TO app_developer;
GRANT app_developer TO 'u'@'localhost';

但角色本身仍不能动态匹配前缀 —— 你还是得手动维护每条 GRANT。真正省事的方式是：在应用连接层控制数据库名白名单，MySQL 只负责校验用户是否有对应库的权限。这样新增 app_v3 时，只需改应用配置 + 手动加一条 GRANT，不依赖 MySQL 自动发现。

容易被忽略的一点：即使用户只能访问 app_% 库，SHOW DATABASES 仍会列出所有库名（除非禁用 show_databases_priv）。权限控制的是「能否 USE」，不是「能否看见」。