不能只查mysql.user表，因为其仅存储全局权限，而库级、表级、列级权限分别存于mysql.db、mysql.tables_priv、mysql.columns_priv等表中，遗漏会导致导出脚本缺失对应on子句并引发权限还原不全。
直接从 mysql.user 和 mysql.db 表拼接 GRANT 语句
MySQL 不提供原生命令一键导出所有用户的授权语句，但可以通过查询系统表 + 字符串拼接生成标准的 GRANT 语句。核心思路是：遍历 mysql.user（全局权限）和 mysql.db（库级权限），过滤掉匿名用户和系统内置账户（如 'mysql.infoschema'、'mysql.session' 等），再用 CONCAT() 组装成可执行的 SQL。
实际执行时注意：mysql.user 中的权限字段（如 Select_priv、Insert_priv）是字符型 'Y'/'N'，需逐个判断；而 mysql.db 的权限字段命名规则一致，但作用范围限定在 Db 列指定的数据库上。
示例（只处理全局权限）：
SELECT CONCAT('GRANT ',
IF(Select_priv='Y','SELECT,',''),
IF(Insert_priv='Y','INSERT,',''),
IF(Update_priv='Y','UPDATE,',''),
IF(Delete_priv='Y','DELETE,',''),
IF(Grant_priv='Y','GRANT OPTION,',''),
' ON *.* TO `', User, '`@`', Host, '`;') AS stmt
FROM mysql.user
WHERE User != '' AND Host != ''
AND User NOT IN ('mysql.infoschema','mysql.session','mysql.sys','root')
AND (Select_priv='Y' OR Insert_priv='Y' OR Update_priv='Y' OR Delete_priv='Y');
为什么不能只查 mysql.user？必须补上 mysql.db 和 mysql.tables_priv
仅靠 mysql.user 只能还原全局权限（ON *.*），但大量用户实际只被授予了某几个库甚至某张表的权限。漏掉 mysql.db 会导致导出脚本缺失 ON `db_name`.* 类语句；更隐蔽的是，如果用户有表级或列级权限，还得查 mysql.tables_priv 和 mysql.columns_priv —— 这些表里权限字段是逗号分隔字符串（如 'Select,Insert'），不能用简单 = 'Y' 判断，得用 FIND_IN_SET() 或正则匹配。
常见错误现象：导出脚本执行后发现某些用户无法访问特定数据库，就是没处理 mysql.db 导致的。
关键点：
-
mysql.db中Db字段可能含通配符（如'test%'），拼接时需保留原样，不能加反引号 -
mysql.tables_priv的Table_name字段为空字符串表示“该库下所有表”，此时应拼成ON `db_name`.*而非ON `db_name`.`` - 权限字段值为
''（空字符串）代表无权限，不是'N'，判断逻辑要区分
SHOW GRANTS FOR user@host 无法批量导出，但可用来验证单个用户
SHOW GRANTS FOR 'u1'@'localhost' 是最准确的权限还原方式，它直接返回 MySQL 内部解析后的授权语句，自动处理了权限合并、通配符展开、角色继承等逻辑。但它不支持 FOR '*' 或批量用户，只能一个一个查 —— 对上百用户来说效率极低，且无法自动化。
所以实操中建议分两步：
- 先用系统表拼接生成基础脚本（覆盖 90% 场景）
- 对关键用户（如 DBA 账户、应用主账号）单独执行
SHOW GRANTS校验，尤其注意是否有WITH GRANT OPTION或AS role_name这类高级特性
注意：SHOW GRANTS 输出里若含 IDENTIFIED WITH ...，说明用了插件认证（如 caching_sha2_password），这部分不会出现在系统表里，导出脚本需额外补上 CREATE USER 语句。
导出脚本执行前必须手动检查三处硬编码风险
自动生成的脚本不是拿来就能跑的，至少有三个地方必须人工核对：
-
User和Host字段是否包含特殊字符（如'user@domain.com'中的@或'app-user'中的连字符），拼接时是否被正确包裹在反引号里 - 权限语句末尾是否都带分号（
;），否则批量执行会因语法错误中断 - 是否存在
GRANT USAGE ON *.*这类空权限语句（即所有权限字段都是'N'或空），这类语句实际无效，应过滤掉
最容易被忽略的是：MySQL 8.0+ 默认启用 sql_mode=STRICT_TRANS_TABLES，如果脚本里有重复 GRANT 或对不存在用户授予权限，会直接报错退出。稳妥做法是加 IF EXISTS 判断或先用 DROP USER IF EXISTS 清理再重建。
