mysql中%和_是通配符，未转义会导致权限范围意外扩大；数据库名含_须写为db\\_1才能字面匹配，授权与撤销必须完全一致，否则静默失败。
MySQL权限语句里的 % 和 _ 不是普通字符，而是通配符——直接写进数据库名、表名里，授权范围会悄悄扩大数倍甚至上百倍，不是“给一个库”，而是“给了几十个名字长得像的库”。这不是配置遗漏，是语法误用。
GRANT 语句中数据库名含下划线时，_ 会被当作单字符通配符
比如执行 GRANT SELECT ON `db_1`.* TO 'u'@'%';，MySQL 实际匹配的是所有形如 dbX1 的库（X 可以是任意单字符）：db01、dba1、db-1、db?1 都算。这不是疏忽，是 MySQL 权限解析器按 LIKE 规则做的模式匹配。
- 必须显式转义：写成
`db_1`（反斜杠+下划线），才能让_当作字面量 - 反斜杠本身在 SQL 字符串里要双写，所以实际执行时得写
GRANT SELECT ON `db\_1`.* TO 'u'@'%'; - 用
SHOW GRANTS FOR 'u'@'%';查看结果，确认显示的是`db_1`而不是`db_1`，才算转义成功
用 % 授权时，主机名和数据库名的匹配优先级容易反直觉
'u'@'%' 能匹配远程 IP，但不匹配 localhost；'u'@'127.0.0.1' 走 TCP，'u'@'localhost' 走 socket——这是两个账号。同样，GRANT ... ON `app%`.* 会匹配 app_db、app123、app-test，只要前缀是 app 就行。
MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。
- 不要依赖
%模糊覆盖，明确写全库名并加反引号：`app_db` - 若真需批量授权，先用
SELECT SCHEMA_NAME FROM INFORMATION_SCHEMA.SCHEMATA WHERE SCHEMA_NAME LIKE 'app%';确认匹配列表 - 主机名部分也一样：授权
'u'@'192.168.1.%'比'u'@'%'安全得多
通配符权限撤销时，REVOKE 必须与原始 GRANT 完全一致
如果当初用 GRANT SELECT ON `db\_1`.* TO 'u'@'%'; 授权，那撤销时必须写 REVOKE SELECT ON `db\_1`.* FROM 'u'@'%';。写成 `db_1` 或漏掉反斜杠，MySQL 会静默失败——既不报错，也不撤销权限。
- 执行前务必先查原始授权：
SHOW GRANTS FOR 'u'@'%'; - 复制粘贴输出中的完整对象名（含转义），不要手动重写
- 撤销后立刻再执行一次
SHOW GRANTS，确认对应权限行已消失
最危险的不是不会用通配符，而是不知道它正在用——所有带 _ 或 % 的库名、表名，在 GRANT/REVOKE 语句里都默认开启模式匹配。不转义，就等于主动把权限边界交出去。
