查用户权限必须用show grants for 'user'@'host'，因其能合并全局、库级、表级等所有生效权限并按授权顺序展示；直接查mysql.user等系统表仅得静态配置，无法反映实际权限组合，且不包含授权链路信息。
查用户权限要用 SHOW GRANTS，不是 SELECT 权限表
MySQL 的权限信息分散在 mysql.user、mysql.db 等系统表里，但直接查这些表只能看到静态配置，看不到实际生效的权限组合，也看不到授权链路（比如谁授的、何时授的）。真正反映“当前生效权限”的标准方式是 SHOW GRANTS FOR 'user'@'host' —— 它会合并全局、库级、表级等所有层级权限，并按授权顺序展示，这才是你该信的结果。
常见错误是写 SELECT * FROM mysql.user WHERE User='xxx'，这只会返回密码哈希和全局开关字段（如 Super_priv），完全无法判断该用户对某个库有没有 SELECT 权限。
- 必须用
SHOW GRANTS FOR 'u1'@'192.168.1.%'，注意用户名+主机名要完全匹配，包括引号和通配符 - 如果用户不存在或主机名不精确，会报错
ERROR 1141 (42000): There is no such grant defined for user 'u1' on host '192.168.1.%' - 普通用户执行时只能查自己：
SHOW GRANTS（不带FOR），管理员才能查别人
INFORMATION_SCHEMA.ROLE_TABLE_GRANTS 不适用——MySQL 8.0+ 角色权限需额外处理
如果你启用了角色（CREATE ROLE r1，再 GRANT SELECT ON db.* TO r1），SHOW GRANTS 默认只显示直接授予用户的权限，不会自动展开角色继承的权限。想看完整视图，得手动查角色绑定关系：
- 先查用户被赋予了哪些角色：
SELECT * FROM mysql.role_edges WHERE TO_HOST = 'host' AND TO_USER = 'user' - 再查每个角色的权限：
SHOW GRANTS FOR 'r1'@'%' - MySQL 8.0.17+ 提供了
INFORMATION_SCHEMA.APPLICABLE_ROLES表，可列出当前会话可激活的角色，但不包含权限细节
别指望 INFORMATION_SCHEMA.ROLE_TABLE_GRANTS 返回结果——这个表在 MySQL 8.0 中存在但始终为空，官方文档已注明“not yet implemented”。
授权来源无法直接查，但能通过 mysql.proxies_priv 和 binlog 推断
MySQL 不记录“谁在什么时候给谁授了什么权”，mysql.tables_priv 等表只有权限内容，没有 created_at 或 granted_by 字段。唯一能间接追溯的线索是：
-
mysql.proxies_priv表里有Grantor字段（格式为'admin'@'localhost'），但它只记录PROXY权限的授予者，其他权限类型不存 - 开启并保留 general log 或 binlog，从中搜索
GRANT语句（需提前配置log_output = 'TABLE'或定期归档 binlog） - 第三方审计插件（如 Percona Audit Log）可捕获授权操作，但属于额外部署，不在原生能力范围内
也就是说：权限“是什么”，SHOW GRANTS 能说清；权限“从哪来”，MySQL 原生不记，得靠日志或外部工具补全。
批量查所有用户权限？小心性能和权限边界
没有单条 SQL 能“一键导出所有用户权限列表”。可行做法是生成一批 SHOW GRANTS 语句：
SELECT CONCAT('SHOW GRANTS FOR ''', User, '''@''', Host, ''';') AS stmt FROM mysql.user;
然后复制结果逐条执行，或用脚本循环调用。但要注意：
-
mysql.user里可能包含已过期/禁用账户（account_locked = 'Y'），它们的权限仍会被SHOW GRANTS返回，需结合password_expired和account_locked字段过滤 - 执行
SHOW GRANTS需要SELECT权限访问mysql库，某些最小权限部署下管理员也无法直接查所有用户 - MySQL 5.7 及更早版本中，
SHOW GRANTS对匿名用户（User = ''）会报错，需跳过
真正的难点从来不是“怎么列出来”，而是确认这些权限是否还在生效、有没有被更高优先级规则覆盖、以及谁动过它们——这些都得靠日志、流程管控和人肉核对。
