能，但必须显式授权、避免通配符、且要理解「可见」和「可访问」是两回事：grant需写死库名如app_db.*，禁用*.*；show databases显示所有库名不等于可访问，真正隐藏需关闭show_database_privilege或设show_db_priv='n'并显式授库权限。
能，但必须显式授权、避免通配符、且要理解「可见」和「可访问」是两回事。
GRANT 语句不能带 *.*，必须写死数据库名
很多人以为 GRANT 后跟个数据库名就完事了，其实关键在对象范围。MySQL 权限是按「层级」生效的，GRANT SELECT ON app_db.* TO 'u1'@'localhost' 是对的，而 GRANT SELECT ON *.* TO 'u1'@'localhost' 就等于开了后门——哪怕只执行过一次，后续再授库级权限也压不住它。
- 正确写法只有一种：
GRANT SELECT, INSERT ON myapp.* TO 'u1'@'10.20.30.%' - 千万别用
GRANT ALL PRIVILEGES ON *.*，哪怕只是测试，撤回时容易漏掉残留权限 - 如果用户只需查一张表，直接授到表级更安全：
GRANT SELECT ON myapp.orders TO 'u1'@'%'
SHOW DATABASES 仍列出所有库？这不是权限失效
这是最常被误判的点：用户执行 SHOW DATABASES 看到一堆库名，不代表他能进。MySQL 默认只要用户有任意数据库权限（哪怕只是 USAGE），就会列出所有 schema 名——但 USE other_db 会立刻报错 Access denied for database 'other_db'。
- 真正隐藏库名需 MySQL 8.0.29+ 并关闭
show_databases_privilege，且用户不能有SHOW DATABASES权限 - 更通用的做法是不授
SHOW DATABASES，改用应用层控制：SELECT SCHEMA_NAME FROM INFORMATION_SCHEMA.SCHEMATA WHERE SCHEMA_NAME IN ('myapp', 'log') -
performance_schema和sys库默认对所有已认证用户可见，无法通过GRANT隐藏
REVOKE 不等于清零，残留权限必须手动清理
执行 REVOKE INSERT ON myapp.* FROM 'u1'@'%' 只删这一条，不会动其他 GRANT 记录。如果之前给过 GRANT ALL ON *.*，那全局权限还在，库级限制形同虚设。
- 先查现状：
SHOW GRANTS FOR 'u1'@'%'，别靠记忆 - 若发现残留
GRANT ... ON *.*，必须先REVOKE ALL PRIVILEGES ON *.* FROM 'u1'@'%' -
REVOKE不删账号，也不清mysql.user表里的USAGE权限，那是连接基础，得单独处理 - 改完记得
FLUSH PRIVILEGES—— 虽然正常GRANT不需要，但手动改表或跨版本迁移后必须执行
最容易被忽略的是 host 匹配和认证插件：'u1'@'localhost' 和 'u1'@'%' 是两个账号；MySQL 8.0+ 默认用 caching_sha2_password，老客户端连不上时得建号时指定 IDENTIFIED WITH mysql_native_password。
