mysql 5.7+ 必须用 create user 或 alter user 的 with 子句显式设置资源限制，grant 语句不再支持且 8.0+ 已废弃；max_user_connections 是唯一真正控制同时活跃连接数的参数，设为 0 表示不限制。
ALTER USER WITH 资源限制参数必须显式指定
MySQL 5.7+ 不再支持通过 GRANT 语句设置资源限制（如 MAX_QUERIES_PER_HOUR），该语法在 8.0+ 已废弃且逻辑危险——它只对当前 GRANT 中列出的权限生效，其他权限完全绕过限制。唯一可靠方式是用 CREATE USER 或 ALTER USER 的 WITH 子句。
常见错误：执行 GRANT SELECT ON db.* TO 'u'@'h' WITH MAX_QUERIES_PER_HOUR 100; 后发现 UPDATE 不受控，就是因为 UPDATE 权限来自另一条 GRANT，而资源限制不继承、不叠加、只认最后一次显式声明的值。
-
CREATE USER 'api'@'%' IDENTIFIED BY 'pwd' WITH MAX_QUERIES_PER_HOUR 120 MAX_USER_CONNECTIONS 5;—— 新建即绑定，最干净 -
ALTER USER 'report'@'localhost' WITH MAX_UPDATES_PER_HOUR 30;—— 只改更新限制，其余不变 - 设为
0表示取消该项限制（不是“禁止”，而是“不限”）
MAX_USER_CONNECTIONS 是防连接泄露最关键的项
多数线上抖动源于应用未正确关闭连接，导致 Threads_connected 持续上涨，最终挤占全局 max_connections。此时 MAX_USER_CONNECTIONS 能直接掐断源头，它是唯一真正控制“同时活跃连接数”的参数。
注意：MAX_CONNECTIONS_PER_HOUR 是每小时允许新建多少次连接，和并发无关；MAX_USER_CONNECTIONS 才是“最多维持几个未关闭的连接”。设为 5 后，第 6 个新连接会直接报错 Too many connections for user，但已存在的 5 个连接不受影响。
- 验证是否生效：执行
SELECT User, Host, max_user_connections FROM mysql.user WHERE User = 'api';，别信SHOW GRANTS（它不显示资源限制） - PHP 连接池或
PDO::ATTR_PERSISTENT会让限制提前触达，需配合wait_timeout和应用层 close() 使用 - 宝塔面板无图形化配置入口，必须进数据库页用 SQL 手动执行
MAX_QUERIES_PER_HOUR 按自然小时滚动，不区分语句类型
这个限制统计的是“每小时执行的语句总数”，包括 SELECT、INSERT、UPDATE、DELETE、SET，但不计 COMMIT、ROLLBACK、SHOW、USE。它按 00:00–23:59 自然小时滚动，无法自定义窗口，也不看执行耗时或扫描行数。
典型误判场景：一条 SELECT SLEEP(30) 和一条 SELECT * FROM logs WHERE ts > NOW() - INTERVAL 1 DAY 都只算 1 次。它防不了慢查询，只防高频轻量请求（如轮询、爬虫扫库）。
- 报错信息是
User 'api'@'10.0.1.5' has exceeded the 'max_questions' resource (current value: 1000)，其中max_questions是内部字段名，别和系统变量混淆 -
SET GLOBAL max_questions = 1000必然失败，因为max_questions根本不是系统变量，它只存于mysql.user表中 - 修改后低版本 MySQL（FLUSH PRIVILEGES，否则新连接仍用旧值
权限变更后已建立连接不受影响
所有资源限制只在用户认证建立新连接时加载一次，后续运行中不会动态检查或踢出超限连接。这意味着：
- 你刚执行
ALTER USER ... WITH MAX_USER_CONNECTIONS 3，但已有 10 个长连接挂着，它们依然存活，只是第 11 个新连接会被拒 - 同理，
MAX_QUERIES_PER_HOUR的计数器也是每个连接独立维护的（MySQL 8.0.12+ 改为按用户全局滑动窗口，但文档未明确说明版本差异） - 想立刻生效？只能等旧连接超时断开，或主动
KILL它们（但 KILL 不释放额度，额度按自然小时重置）
最容易被忽略的是：限制值写错、Host 匹配不上（'user'@'localhost' 和 'user'@'127.0.0.1' 是两个账户）、或忘记刷新权限。上线前务必用新连接实测，别只查表确认。
