phpMyAdmin权限检查应该重点检查哪些项目-phpMyAdmin-PHP中文网

应重点检查mysql.user表中super_priv和grant_priv是否被滥用，因其赋予用户绕过限制和授予权限的能力；需筛查高危账号、验证Host匹配、确认权限层级生效顺序及版本差异影响。

这两个权限是 mysql 权限体系里的“核按钮”：开启 super_priv 的用户能绕过大多数限制（如修改只读模式、杀连接、写日志），而 grant_priv 允许用户再把权限授给其他人——一旦失控，整个权限链就不可控。

常见错误现象是批量建账号脚本里无差别赋予 ALL PRIVILEGES，结果让普通运维账号也带上了 Grant_priv='Y'。这类账号哪怕只配了 SELECT，也能把自己升级成 DBA。

执行 SELECT User, Host, Super_priv, Grant_priv FROM mysql.user WHERE Super_priv='Y' OR Grant_priv='Y'; 快速筛出高危账号
重点比对同名用户在不同 Host 上是否重复开启（比如 'admin'@'localhost' 和 'admin'@'%' 都开了 Super_priv）
phpMyAdmin 的“用户账户”页只显示当前登录用户可见的权限，要查全量必须用 root 或具备 SELECT 权限的账号访问 mysql 库

MySQL 权限按层级生效：全局 → 数据库 → 表 → 列。如果用户已对 myapp.* 有 ALL，再单独给 myapp.users 表赋 SELECT 就纯属冗余——不仅没用，还会在后续删库级权限时留下残留表权限，造成误判。

迁移旧系统或执行历史脚本时最常踩这个坑：一堆零散 GRANT SELECT ON mydb.table1 TO 'u'@'h'; 被反复执行，却没人检查上层是否已有更高权限。

查库级权限：SELECT User, Host, Db, Select_priv, Insert_priv FROM mysql.db WHERE Db='myapp';
查表级权限：SELECT User, Host, Db, Table_name, Table_priv FROM mysql.tables_priv WHERE Db='myapp';
判断逻辑很简单：若某用户在 mysql.db 中对某库的 Select_priv='Y'，则 mysql.tables_priv 中同库同用户的任何 Table_priv 都可视为冗余（MySQL 不支持 DENY，所以不存在“覆盖抵消”）

MySQL 用户是 'user'@'host' 二元组，'u'@'localhost' 和 'u'@'127.0.0.1' 是两个完全独立的账号，权限不共享。很多“权限明明给了却连不上”的问题，根源都在这里。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

典型场景：phpMyAdmin 创建用户时默认填 localhost，但命令行用 mysql -u u -p 在 Windows 下实际走的是 TCP 连接（等价于 127.0.0.1），结果找不到匹配的权限记录。

先用 SELECT User, Host FROM mysql.user; 确认目标用户是否存在、Host 值是否和你连接方式一致
Linux/macOS 下 socket 连接匹配 localhost，TCP 连接匹配 127.0.0.1；Windows 默认走 TCP，除非显式加 --protocol=socket
生产环境慎用 '%'，它不匹配 localhost（MySQL 内部规则），反而可能漏掉本地管理需求

phpMyAdmin 提交权限后不会自动执行 FLUSH PRIVILEGES，新版 MySQL（8.0+）已改用动态权限表，改完即生效；但 5.7 及更早版本仍依赖手动刷新，否则新权限不加载。

更隐蔽的问题是权限继承：删了 mysql.db 里的某条记录，不代表用户失权——他可能还从 mysql.user 继承了 Super_priv='Y'，照样能操作所有库。

清理前务必按顺序检查：mysql.user → mysql.db → mysql.tables_priv → mysql.columns_priv
清理后不要只点 phpMyAdmin 的“刷新”按钮，要用新连接实测：mysql -u testuser -p -h 127.0.0.1（强制 TCP）或 mysql -u testuser -p -S /var/run/mysqld/mysqld.sock（强制 socket）
用 SHOW GRANTS FOR 'testuser'@'127.0.0.1'; 查看最终生效的权限语句，这是唯一可信来源

权限检查最难的不是找到哪条语句有问题，而是搞清“为什么这条语句看起来合理，却没起作用”——Host 匹配规则、权限继承层级、MySQL 版本差异，三者叠加最容易让人在原地打转。