能，但前提是用户没有其他任何写权限残留；必须先show grants确认权限，再显式revoke所有写操作及grant option、super等高危权限，并限定库级select范围、主机ip段，最后用新连接验证insert报错且仅显示select权限。
只授 SELECT 权限就能实现只读吗
能，但前提是用户**没有其他任何写权限残留**。MySQL 权限是“显式授予”，不是“默认拒绝”——GRANT SELECT 只加权限，不删权限。如果用户之前被授予过 ALL PRIVILEGES 或角色（比如 mysql.backup），哪怕你只执行了 GRANT SELECT，他依然能 UPDATE、DROP 甚至 GRANT 给别人。
必须先查清现状：SHOW GRANTS FOR 'user'@'host';
注意看输出里有没有 INSERT、UPDATE、DELETE、DROP、ALTER、LOCK TABLES、TRUNCATE、GRANT OPTION 等。只要有一项存在，就不是真正只读。
- 新建用户时，严格按两步走：
CREATE USER→GRANT SELECT ON db_name.*，别混用 - 已有用户，必须显式回收：
REVOKE INSERT, UPDATE, DELETE, DROP, CREATE, ALTER, INDEX, LOCK TABLES, EXECUTE, TRIGGER, GRANT OPTION ON db_name.* FROM 'user'@'host'; - 全局权限（如
REVOKE ALL PRIVILEGES ON *.*）要单独处理，它不被库级REVOKE覆盖
GRANT SELECT 的作用范围怎么选才安全
范围太宽会泄露系统信息，太窄又容易漏表。最常用且推荐的是库级授权：GRANT SELECT ON `myapp_prod`.* TO 'ro_user'@'192.168.10.%';。它比 *.* 安全，也比单张表更易维护。
绝对避免：GRANT SELECT ON *.* —— 这会让用户看到 mysql.user（含密码哈希）、performance_schema（含 SQL 执行详情）、sys（含敏感诊断视图）。
- 如果业务只读一张表（比如日志归档表），用表级：
GRANT SELECT ON `logdb`.`events_202408`，但注意分区表的其他分区、临时表、物化视图底层依赖表也要检查权限 - 跨库只读？逐个授权：
GRANT SELECT ON `sales`.*、GRANT SELECT ON `reports`.*，不要试图用通配符匹配库名 - 主机名别用
'%'，生产环境至少限定内网段，比如'10.20.30.%'
为什么用户还能执行 SHOW CREATE TABLE 或查表结构
因为这不是“查数据”，而是访问元数据，默认不受 SELECT 权限控制。只要用户对某张表有 SELECT 权限，就能通过 INFORMATION_SCHEMA.TABLES、COLUMNS 等表推断出库内所有表名和字段名。
想真正限制，得单独处理元数据权限：
- MySQL 8.0.12+ 支持：
REVOKE SELECT ON `INFORMATION_SCHEMA`.* FROM 'user'@'host'; - 若需保留部分元数据访问（比如让 BI 工具能自动发现字段），可精确授权：
GRANT SELECT ON `INFORMATION_SCHEMA`.`COLUMNS` TO 'user'@'host';，但不给TABLES或VIEWS -
SHOW CREATE TABLE需要SELECT+ 对该表的SHOW VIEW权限（视图）或SELECT（普通表），但后者本质还是靠INFORMATION_SCHEMA查源码
列级 SELECT 权限到底能不能防住敏感字段
不能当安全边界用，只能算轻量提示约束。MySQL 列级权限只校验 SQL 中**直写的字段名**，不拦截 JOIN、子查询、函数计算等间接路径。
例如只授了 SELECT(id, name)，下面这些都能绕过：
-
SELECT u1.id, u2.phone FROM users u1 JOIN users u2 ON u1.id = u2.id;（只要对users有任意列SELECT权，JOIN 就能暴露未授权字段） -
SELECT id, (SELECT phone FROM users LIMIT 1) FROM users LIMIT 1;（子查询独立校验，只要子查询里字段在白名单中就放行） - 字段名含特殊字符（如
user-id）必须用反引号：GRANT SELECT(`user-id`, `full name`) ON db.table，写成user-id会报错
真要隔离字段，建视图才是可靠方案：CREATE VIEW safe_users AS SELECT id, name FROM users;，再 GRANT SELECT ON safe_users。视图定义由定义者权限决定，调用者无法穿透。
