为什么MySQL中用户即使有ALL权限也无法修改系统变量？-mysql教程-PHP中文网

mysql 8.0.16+ 中 system_variables_admin 是独立权限，all privileges 不包含它，需显式授予；同时需同步撤销 connection_admin、session_variables_admin 和 super 才能彻底限制变量修改。

为什么mysql中用户即使有all权限也无法修改系统变量？

MySQL 8.0+ 中 SYSTEM_VARIABLES_ADMIN 是独立权限

不是权限没给全，而是 ALL PRIVILEGES 在 MySQL 8.0.16+ 版本中明确不包含 SYSTEM_VARIABLES_ADMIN。这个权限被拆出来单独管控，哪怕你用 GRANT ALL ON *.* TO 'user'@'host'，也不会自动获得修改全局或持久化变量的能力。

常见错误现象是执行 SET GLOBAL max_connections = 2000 或 SET PERSIST innodb_buffer_pool_size = 1G 时直接报错：ERROR 1227 (42501): Access denied; you need (at least one of) the SYSTEM_VARIABLES_ADMIN privilege(s)。

SYSTEM_VARIABLES_ADMIN 控制 SET GLOBAL 和 SET PERSIST
SESSION_VARIABLES_ADMIN 控制 SET SESSION（注意：普通用户默认就能用 SET SESSION，但该权限控制的是“能否为其他会话设置”，实际影响较小）
PERSIST_RO_VARIABLES_ADMIN 是额外权限，专用于 SET PERSIST_ONLY 修改只读变量的持久化值

为什么 SHOW GRANTS 看不到权限却还能改变量？

因为权限可能来自角色继承，而不是直接授予用户。比如用户属于内置角色 mysql.session 或自定义角色，而该角色拥有 CONNECTION_ADMIN、SYSTEM_VARIABLES_ADMIN 等权限——SHOW GRANTS FOR 'user'@'host' 不会显示角色内的权限，必须查系统表确认。

容易踩的坑是只看 SHOW GRANTS 输出就下结论。真实权限是叠加生效的，必须交叉验证：

查角色授予权限：SELECT * FROM information_schema.role_table_grants WHERE grantee = "'user'@'host'" AND privilege_type IN ('SYSTEM_VARIABLES_ADMIN', 'CONNECTION_ADMIN', 'SESSION_VARIABLES_ADMIN');
查是否属于高危角色：SELECT * FROM mysql.role_edges WHERE TO_USER = 'user' AND TO_HOST = 'host';
查直接授权：SHOW GRANTS FOR 'user'@'host';，确认没有漏掉 CONNECTION_ADMIN（它隐式允许变量修改）

CONNECTION_ADMIN 和 SUPER 权限会绕过 SYSTEM_VARIABLES_ADMIN 检查

即使你显式 REVOKE SYSTEM_VARIABLES_ADMIN，只要用户还持有 CONNECTION_ADMIN 或未清理的 SUPER，SET GLOBAL 依然能成功。这不是 bug，是 MySQL 8.0+ 的设计事实：

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

CONNECTION_ADMIN 隐式包含变量修改能力，且优先级高于 SYSTEM_VARIABLES_ADMIN 撤销结果
SUPER 虽标记为 deprecated，但在 8.0.12+ 仍完全有效；旧账号若未显式 REVOKE，就是后门
SESSION_VARIABLES_ADMIN 允许 SET PERSIST（写入 mysqld-auto.cnf），效果等同于 SET GLOBAL + 重启生效