wordpress只需select、insert、update、delete及create temporary tables等基础权限，勾选“所有权限”会授予drop、alter、grant option等高危权限，一旦存在sql注入漏洞，攻击者可删库、改结构或创建管理员账号；必须限制主机范围（如'wp_app'@'localhost'）、绑定具体数据库（如myblog_db.*）、禁用file等非必要权限，并验证最小化授权有效性。
为什么不能直接给wordpress用户赋“所有权限”
wordpress运行只需要select、insert、update、delete这四个基础权限，外加create temporary tables（用于缓存和会话）。如果在phpmyadmin里勾选“所有权限”，mysql会额外授予drop、alter、grant option等高危权限——一旦插件或主题存在sql注入漏洞，攻击者就能删库、改表结构、甚至创建新管理员账号。
常见错误是：用root账号建库后，直接把root凭据填进wp-config.php。这样看似省事，但等于把数据库的“门钥匙+保险柜密码+装修图纸”全交出去。
- 必须限制主机范围，比如只允许
'wp_app'@'localhost'，而不是'wp_app'@'%' - 权限必须绑定到具体数据库，例如
myblog_db.*，不能选“全局” - 不要勾选
FILE权限——WordPress不需要读写服务器文件系统
在phpMyAdmin中创建最小权限用户的实操步骤
登录具备CREATE USER权限的账号（通常是root），进入顶部菜单的用户账户 → 添加用户账户：
-
用户名填wp_app这类无含义名称，避免暴露用途 -
主机选localhost（除非WP部署在远程应用服务器） -
密码用强密码生成器生成，长度≥12位，含大小写字母+数字+符号 - 下方“数据库特定权限”里，先选择目标数据库（如
myblog_db），再勾选：SELECT、INSERT、UPDATE、DELETE、CREATE、ALTER、INDEX、CREATE TEMPORARY TABLES - 绝对不要勾
DROP、GRANT OPTION、REFERENCES、LOCK TABLES
点击执行后，立刻在用户账户列表里找到刚建的用户，点击编辑权限，确认全局权限栏为空——如有残留，手动取消并保存。
验证权限是否真的最小化
新建用户后，别急着切回WP配置。用这个账号登录phpMyAdmin，尝试以下操作：
- 执行
DROP TABLE wp_posts;→ 应报错#1142 - DROP command denied - 执行
CREATE DATABASE test_db;→ 应报错#1044 - Access denied for user - 执行
SELECT * FROM wp_options LIMIT 1;→ 必须能正常返回结果
再检查wp-config.php里的数据库配置是否已更新为新账号：DB_USER、DB_PASSWORD、DB_HOST（保持localhost）、DB_NAME。改完记得清空WP对象缓存（如有）并重启PHP进程。
多站点（Multisite）场景下的权限差异
如果是WordPress Multisite，单个数据库账号仍可复用，但权限范围要扩大到整个网络的表前缀（如wp_开头的所有表），且必须包含CREATE和ALTER——因为新站点启用时会自动建表。此时wp_sitemeta和wp_blogs也需可读写，但wp_users和wp_usermeta仍只需SELECT/UPDATE（仅限当前站点用户数据）。
最容易被忽略的是：某些托管环境（如WP Engine、SiteGround）默认禁用CREATE TEMPORARY TABLES，会导致WP后台出现WordPress database error Can't create table。遇到这类报错，不是加权限，而是联系支持方开通该选项——自行提权可能触发平台安全策略自动封禁。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
