mysql权限检查本质是“短路”而非“覆盖”，按user→db→tables_priv→columns_priv顺序逐层校验，任一层返回'n'即终止；show grants仅显示host完全匹配的权限，通配符权限需查mysql.db等表确认；真正生效取决于current_user()、user表权限字段非'n'及操作隐式依赖是否满足。
MySQL权限检查根本不是“覆盖”，而是“短路”
所谓“全局权限无法覆盖局部权限”，这个说法本身就有误导性。MySQL压根不走“覆盖逻辑”，它按user→db→tables_priv→columns_priv顺序逐层检查，一旦某一层明确返回'N'（拒绝），就立刻终止，后续层级完全不看。比如user表里Select_priv = 'N'，哪怕db表对该库设了'Y'，SELECT操作照样报ERROR 1044。
为什么SHOW GRANTS看不到db表权限？
SHOW GRANTS FOR 'u'@'%'只匹配Host字段**完全相等**的记录，通配符（如'192.168.%'）或模糊匹配（如'192.168.1.100'对'192.168.%'）不会出现在结果里——但它依然生效。排查时别信这个命令：
- 查
db表真实权限：SELECT Host, Db, Select_priv FROM mysql.db WHERE User='u' AND Host LIKE '192.168.1.%'; - 同步查
user表：SELECT Host, User, Select_priv FROM mysql.user WHERE User='u' AND Host IN ('%', '192.168.1.100'); - 注意
localhost和127.0.0.1是两个不同Host，不能混用
DELETE失败却说缺SELECT权限？
这不是bug，是MySQL隐式行为：带WHERE的DELETE会先做一次隐式SELECT定位行。如果user表Select_priv = 'N'，校验在第一层就失败，根本不会走到db表那步。常见误操作：
MySQL（Linux）
下载
MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。
- 只授
GRANT DELETE ON mydb.* TO 'u'@'%';，没确认user表Select_priv是否为'Y' - 用
REVOKE删权限后忘了FLUSH PRIVILEGES（GRANT自动刷新，REVOKE不一定） - 新建用户后只改
db表，user表默认全是'N'，成了静默拒绝入口
真正影响权限生效的三个关键点
权限是否起效，不取决于你“写了什么GRANT”，而取决于三件事是否对齐：
-
CURRENT_USER()返回的账号，必须和你GRANT的目标账号（用户名+主机名）完全一致 -
user表对应行的权限字段（如Select_priv）不能是'N'，否则直接短路 - 操作类型是否触发隐式依赖（如
DELETE要SELECT、mysqldump --databases a b要求两个库都有权限）
最容易被忽略的是user表里那些默认为'N'的字段——它们不是“未设置”，而是明确拒绝。查权限时，永远要查表，而不是只信SHOW GRANTS。
