不能靠“用户列表里点几下”就完成最小化权限分配，必须结合主机限制、数据库粒度、权限显式收窄三步落地，否则所谓“最小化”只是假象；需锁定host与密码策略、精确到表授权、禁用grant option，并验证权限生效及清理冗余账号记录。
直接结论：不能靠“用户列表里点几下”就完成最小化权限分配，必须结合主机限制、数据库粒度、权限显式收窄三步落地，否则所谓“最小化”只是假象。
为什么“只勾选 SELECT”不等于最小权限
很多人在 phpMyAdmin 的“编辑权限”页只勾选 SELECT 就以为安全了，结果发现运维人员仍能连上所有库、看到表结构、甚至执行 SHOW DATABASES。这是因为：
• USAGE 权限默认存在，它允许连接但不赋予任何操作能力——但它本身不阻止元数据可见性；
• SELECT 权限若授予 db.*，会覆盖所有表，包括 logs、config 等敏感表；
• 主机字段填 % 会让账号从任意 IP 连入，绕过网络层隔离。
创建用户时必须锁定 host 和密码策略
在“添加用户账户”页，这三个字段决定权限边界的物理起点：
• Host 填具体 IP 段（如 10.20.30.%）或 localhost，绝不用 %；
• 密码必须启用“使用加密方式生成密码”，避免明文传输风险；
• 不勾选“全局权限”区域里的任何选项——这里一旦勾了 CREATE 或 DROP，就等于开了后门。
数据库权限必须精确到表，且禁用 GRANT OPTION
进入“数据库特定权限”区域后：
• 先从下拉菜单选目标数据库（如 finance_app），再点击“选择特定数据库的权限”；
• 手动展开表列表，只对业务表（如 orders、customers）勾选 SELECT、INSERT、UPDATE；
• 对日志表（如 audit_log）和配置表（如 system_config）**完全不勾选任何权限**；
• 底部“授予此用户授予其他用户权限”（即 GRANT OPTION）必须保持未勾选状态——它无法被回收，一旦误授，权限会扩散失控。
权限生效后必须验证，而非依赖“执行”按钮
点完“执行”不代表权限已落地：
• 用新用户账号登录 phpMyAdmin，检查左侧数据库列表是否只显示被授权的库；
• 在 SQL 页执行 SELECT * FROM information_schema.tables WHERE table_schema = 'finance_app';，确认只列出被授权的表；
• 尝试访问未授权库（如 mysql）或执行 CREATE TABLE test(a INT);，应明确报错 Access denied；
• 注意：MySQL 5.7.6+ 和 8.0 中 GRANT 后无需 FLUSH PRIVILEGES，如果权限没生效，大概率是 host 匹配失败或表名拼写错误。
最容易被忽略的是权限继承链——比如某个运维账号同时属于多个用户记录（user@'10.20.%' 和 user@'%'），MySQL 会按 host 匹配优先级取最宽的一条，导致最小化设计彻底失效。每次新增账号前，先查 SELECT host,user FROM mysql.user WHERE user='xxx';，确保没有冗余记录。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
