云数据库mysql权限管理需绕过本地grant流程，依赖控制台或api批量授权库级权限，不支持单表/字段授权；高权限账号不可降权；cam启用后sql授权失效，definer权限易被忽略，且cam策略优先于控制台配置。
云数据库 MySQL 的应用账号权限不能直接套用本地 MySQL 的 GRANT 流程——控制台限制、权限粒度、CAM 验证耦合、DEFINER 行为等都会导致执行失败或权限不生效。
普通账号只能在控制台批量改库级权限
云数据库（如腾讯云 RDS、移动云 MySQL）的普通账号不支持单表或字段级授权，GRANT SELECT ON db.table.column TO ... 会报错；所有权限变更必须走控制台「修改库表权限」或 API GrantAccountPrivileges。常见错误现象是：SQL 执行成功但实际无效果，原因是云平台拦截了 DDL/DML 权限的细粒度语句，只认库级别授权。
- 每次点击「批量授权」只会覆盖该账号对目标库的全部权限，不会保留历史表级设置
- 若已授
读写(DDL+DML)，再单独给某个表设只读，控制台会拒绝——权限类型互斥，不能混用 - 搜索框批量授权时，通配符不支持正则，只认前缀匹配（如输入
log_可匹配log_user、log_order，但不匹配user_log）
高权限账号无法降权，也不能改 Host
云数据库里，root 或实例创建时自动生成的高权限账号，其 Host 字段固定为 % 或内网 IP 段，且权限类型不可修改。试图用 ALTER USER 'root'@'%' IDENTIFIED BY ... 或 RENAME USER 会失败，错误信息通常是 ERROR 1045 (28000): Access denied ——不是密码错，而是平台禁止操作。
- 想让高权限账号变普通账号？不行。只能删掉重建，但重建后原账号名 + 新 Host 才算新账号，旧连接字符串立即失效
- 如果应用部署在 K8s 集群，Pod IP 动态变化，别用
'app'@'10.244.%'这种写法——云平台不支持 CIDR，只接受%或精确 IP -
FLUSH PRIVILEGES在云数据库里无效，控制台点「确定」后权限秒级生效，无需手动刷新
CAM 验证开启后，SQL 授权完全失效
一旦对某个账号启用 CAM 身份验证，所有通过 GRANT / REVOKE 做的权限变更都会被忽略。此时账号实际权限由 CAM 策略中的 "cam:BuildDataFlowAuthToken" 和资源 ARN 共同决定，而非 MySQL 的 privilege 表。
- CAM 启用后，
SHOW GRANTS FOR 'user'@'%'显示的仍是旧权限，但真实生效的是 CAM token 解析出的权限范围 - 如果 CAM 策略里只写了
"resource": ["qcs::cam::uin/123456789:resourceUser/rdsmysql-abc123/app_rw"]，那即使控制台给这个账号授了只读，CAM token 仍可能带SELECT+INSERT - 关闭 CAM 后必须输新密码，且该密码不参与任何 CAM 密钥轮换，属于独立凭证
DEFINER 对象权限容易被忽略
当应用账号调用视图、存储过程或触发器时，如果这些对象定义里写了 DEFINER = 'admin'@'%'，那么运行时实际使用的是 admin 的权限，而不是调用者账号的权限。云数据库对此不做校验，但执行会静默失败或返回空结果。
- 排查方法：查
information_schema.VIEWS或mysql.proc表，看DEFINER字段是否指向已删除或无权限账号 - 修复方式不是改调用账号权限，而是用高权限账号执行
ALTER DEFINER = 'app_user'@'%' VIEW xxx AS ... - 云平台不提供一键重置所有 DEFINER 的功能，必须逐个对象处理
最麻烦的不是怎么设权限，而是权限生效路径有两条：控制台配置走平台元数据同步，CAM 验证走令牌解析，两者冲突时后者优先——这点文档很少提，但线上问题八成出在这儿。
