创建只读用户须限定具体业务库（如sales_db）并仅授select权限，严禁使用%主机和全局权限，避免勾选mysql、information_schema等系统库；创建后必须用新账号实连验证跨库查询与写操作是否被拒绝。
如何创建只读用户并限制数据库范围
直接给报表用户 select 权限就行，但必须避开全局权限和敏感库。phpmyadmin 的权限界面容易误点「全选」或勾选 mysql 系统库，这会埋下风险。
- 登录 phpMyAdmin 后，进「用户账户」→「添加用户账户」
- 「用户名」填实际名称（如
report_user），主机选localhost或具体 IP，避免用% - 「数据库」选「此数据库」，下拉选中报表要用的库（比如
sales_db），**别选「所有数据库」** - 下方权限只勾选
SELECT，其他全部取消（尤其注意取消SHOW VIEW和EXECUTE，除非报表真用到视图或存储过程） - 提交后，该用户只能对
sales_db执行SELECT，连SHOW TABLES都受限于当前库
为什么不能用 root 或任意主机 %
报表用户如果允许从任意主机连接（%），等于把数据库暴露在公网可探测范围内；而复用 root 或高权限账号，一旦报表前端被注入，攻击者能直接删表或导出整个实例。
-
root@%这类账号在 phpMyAdmin 用户列表里会显示为红色警告图标，就是提醒你危险 - 即使只开
SELECT，若主机设为%，攻击者可通过 DNS 劫持或内网扫描拿到连接入口 - 某些报表工具（如 Metabase、Redash）会尝试预加载元数据，若用户有
information_schema的SELECT权限，可能泄露表结构——所以不要额外授权该库
验证权限是否生效的最快方法
别信界面勾选完就万事大吉，一定要用新用户实连测试，尤其是跨库查询失败这类边界情况。
- 用命令行快速验证：
mysql -u report_user -p -h 127.0.0.1 sales_db，成功进入后执行SELECT * FROM orders LIMIT 1; - 尝试跨库查：
SELECT * FROM mysql.user;应报错#1142 - SELECT command denied to user - 尝试写操作：
INSERT INTO orders (...) VALUES (...);应报错#1142 - INSERT command denied - 如果报表工具连不上，检查错误信息里是否含
Access denied for user—— 很可能是主机名不匹配，比如 phpMyAdmin 显示report_user@localhost，但应用连的是127.0.0.1（MySQL 视为不同主机）
报表用户需要额外授权的例外场景
纯 SELECT 够用是常态，但遇到特定需求才加最小必要权限，每加一条都得问清楚「这个报表真的需要吗？」
- 用到视图：单独给对应视图加
SELECT权限，而不是给底层表——因为视图可能封装了敏感字段 - 用到函数（如
NOW()、CONCAT()）不需要额外授权；但自定义函数需EXECUTE，且必须限定在目标库内授权 - 需要
SHOW CREATE VIEW才能导出视图定义，但绝大多数 BI 工具不需要，开了反而增加攻击面 - 如果报表要查慢日志或性能表（如
performance_schema），必须单独授权，且仅限该库的SELECT，系统库权限绝不能泛授
权限配置不是一次性动作，后续加新报表表时，得回 phpMyAdmin 给该用户补授权——但千万别批量勾选「所有表」，只精确到新增的那张表。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
