etl批量读取最小权限需满足三点：一是显式授予目标库表的select权限（如on etl_db.），禁用on .*；二是确保能访问information_schema以支持元数据查询；三是避免使用root等高危账号，应创建专用账号并禁用file、super等危险权限。
ETL批量读取需要哪些最小权限
MySQL本身不区分“ETL专用权限”，批量读取本质就是定期执行SELECT语句，所以核心权限只有SELECT——但必须落在目标库表上，且账号需能连接并查询元数据。常见错误是只授了SELECT ON *.*，结果在DataWorks或Flink CDC里报Access denied; you need (at least one of) the SELECT privilege(s) on database_name.table_name，原因往往是权限范围写成了ON *.*而非具体库名。
必须确保以下三点同时满足：
- 账号拥有
SELECT权限，作用域为具体数据库和表（如SELECT ON `etl_db`.*），不能仅靠USAGE或空权限占位 - 账号有
SELECT权限访问information_schema（某些ETL工具会查TABLES或COLUMNS元数据，否则预览/字段映射失败） - 若用WHERE条件过滤（如
WHERE updated_at > ?），账号还需对对应时间字段有列级可见性——MySQL 8.0+默认无列级限制，但若显式REVOKE SELECT (id) ON db.t FROM u@h过，就可能被拦
为什么不能直接用root账号跑ETL任务
root账号虽有全部权限，但在生产ETL链路中属于高危实践：一旦同步脚本被注入恶意SQL或配置误写成DROP TABLE，后果不可逆。更关键的是，多数云平台（如DataWorks、阿里云DTS）明确禁止使用SUPER或GRANT OPTION权限的账号配置数据源——它们会在连接校验阶段拒绝该账号，报错user lacks required privileges for data integration或类似提示。
安全做法是创建专用账号，并严格限定作用域：
- 建号命令用
CREATE USER 'etl_reader'@'10.10.%' IDENTIFIED WITH caching_sha2_password BY 'strong_pwd_2026';（MySQL 8.0+必须指定插件） - 授权只到库级：
GRANT SELECT ON `sales_db`.* TO 'etl_reader'@'10.10.%'; - 显式拒绝危险权限：
REVOKE FILE, SHUTDOWN, SUPER ON *.* FROM 'etl_reader'@'10.10.%';（避免工具自动探测时触发权限越界）
批量读取场景下FLUSH PRIVILEGES要不要加
不需要。从MySQL 5.7起，GRANT语句执行后权限立即生效，FLUSH PRIVILEGES仅在直接修改mysql.user等系统表后才必需。批量授权脚本里每条GRANT后都跟FLUSH PRIVILEGES，反而会引发性能抖动——尤其当脚本含几十条授权时，每次刷新都要重载整个权限缓存。
真正要关注的是权限生效延迟的两个隐藏点：
- 账号从
mysql.user表加载进内存是即时的，但客户端连接复用旧认证上下文；如果ETL任务已建立长连接，新授的权限不会自动生效，需重启任务或等待连接池超时重建 - 若用
pt-show-grants导出再导入权限，目标库若已存在同名用户但密码哈希不同，CREATE USER会报ERROR 1396，此时必须加--drop参数重导，否则后续GRANT全失效
MySQL 8.0+角色机制对ETL权限配置的影响
如果实例启用了角色（SELECT @@global.partial_revokes;返回1），直接GRANT SELECT ON db.* TO user可能静默失败或报ERROR 3790。这不是权限没给，而是角色策略拦截了继承路径。
此时必须改用角色方式：
- 先创建角色：
CREATE ROLE 'etl_select_role'; - 给角色授权：
GRANT SELECT ON `log_db`.* TO 'etl_select_role'; - 把角色赋予用户：
GRANT 'etl_select_role' TO 'etl_reader'@'%'; - 关键一步：激活角色（否则权限不生效）：
SET DEFAULT ROLE 'etl_select_role' TO 'etl_reader'@'%';
角色方案看似多几步，但好处是权限变更可集中管理——比如某天要停掉对audit_log表的读取，只需REVOKE SELECT ON `log_db`.`audit_log` FROM 'etl_select_role';，所有绑定该角色的ETL账号自动同步失效，不用逐个改用户。
