MySQL 8.0如何迁移旧版用户授权脚本-mysql教程-PHP中文网

show grants for 'user'@'host'是唯一可执行的权限导出方式，因其生成标准sql语句，能完整还原库级、表级、列级等所有生效权限；直接查mysql.user或mysqldump系统库会遗漏细粒度权限且跨版本不兼容。

mysql 8.0如何迁移旧版用户授权脚本

SHOW GRANTS 是唯一可执行的权限导出方式

别查 mysql.user 表，也别用 mysqldump mysql 导整个系统库——权限分散在 mysql.db、mysql.tables_priv 等多张表，字段结构跨版本不兼容，直接插入必然失败。真正能还原、能执行、能验证的，只有 SHOW GRANTS FOR 'user'@'host' 输出的标准 SQL 语句。

常见错误现象：导出 mysql.user 后在目标库执行 INSERT INTO mysql.user，结果用户能登录但没任何权限，甚至因 plugin 或 authentication_string 字段错位导致报错 Access denied。

必须对每个 'user'@'host' 组合单独执行 SHOW GRANTS，'app'@'10.20.%' 和 'app'@'localhost' 是两个独立账号
输出中以 GRANT USAGE ON *.* TO ... 开头的行可忽略——它只声明用户存在，不授实际权限
若原用户有 WITH GRANT OPTION，新用户也会继承该能力，迁移前需确认是否符合最小权限原则

替换用户名后必须手动过滤和修正语句

SHOW GRANTS 返回的是带引号的字符串，不能直接执行。比如输出是 GRANT SELECT ON `mydb`.* TO 'olduser'@'%';，你得把其中的 'olduser'@'%' 替成目标用户名和 host，否则会报错 ERROR 1133 (42000): Can't find any matching row in the user table。

容易踩的坑：

漏掉反引号或单引号嵌套错误，比如写成 GRANT ... TO "newuser"@'%' （双引号非法）
未处理角色权限：SHOW GRANTS 不会展开角色所含权限，只输出 GRANT app_reader TO 'olduser'@'%'；你得额外查 mysql.role_edges 并补上 GRANT app_reader TO 'newuser'@'%'
目标库缺少对应数据库或表时，GRANT SELECT ON mydb.* 会直接失败，迁移前先跑 SHOW DATABASES 核验，缺失则建库：CREATE DATABASE IF NOT EXISTS mydb CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_ai_ci

CREATE USER 必须显式指定认证插件

MySQL 8.0 默认用 caching_sha2_password，但很多旧客户端（如 PHP 7.2 的 mysqlnd、某些 Java 驱动）不支持。如果迁移后应用连不上，不是网络问题，大概率是认证插件不兼容。

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

正确做法是建用户时就锁定插件：

兼容旧客户端：CREATE USER 'newuser'@'%' IDENTIFIED WITH mysql_native_password BY 'pwd';
若要保留 caching_sha2_password，确保目标环境客户端已升级，并在连接串里显式指定：?serverTimezone=UTC&allowPublicKeyRetrieval=true
千万别依赖 CREATE USER 'u'@'h' FROM 'olduser'@'h'——它只复制密码哈希和 SSL 设置，**一条 GRANT 都不会带过来**

导入前必须清理目标库同名用户

直接执行导出的 GRANT 语句，大概率触发 ERROR 1396 (HY000): Operation CREATE USER failed for 'xxx'@'yyy'，因为用户已存在；更危险的是，重复 GRANT 会导致权限叠加，比如原本只有 SELECT，再执行一遍可能意外获得 INSERT。

安全操作顺序：

先在目标库执行 DROP USER IF EXISTS 'user'@'host';（MySQL 8.0.13+ 支持）
若版本低于 8.0.13 或不能删用户，改用 REVOKE ALL PRIVILEGES ON *.* FROM 'user'@'host'; REVOKE GRANT OPTION ON *.* FROM 'user'@'host';
执行完所有 CREATE USER 和 GRANT 后，补一句 FLUSH PRIVILEGES;——虽然 8.0 大部分情况自动重载，但直连修改过权限表时，这步不可省

角色默认设置（SET DEFAULT ROLE）和 proxy 用户授权容易被忽略，一旦漏掉，新用户看似有权限，实际调用时会提示 Access denied。