怎样在MySQL中查看某个用户的完整权限列表-mysql教程-PHP中文网

SHOW GRANTS FOR 'user'@'host' 是唯一可靠方式，因 mysql.user 表在 MySQL 8.0+ 中仅存极少数全局权限且不包含库/表/列级、角色继承及动态权限；漏写 @'host' 或引号错误会报错；角色权限需单独用 SHOW GRANTS FOR ROLE 查询。

怎样在mysql中查看某个用户的完整权限列表

直接执行 SHOW GRANTS FOR 'user'@'host' 是唯一可靠方式，其他方法（如查 mysql.user）必然漏权，尤其在 MySQL 8.0+ 环境下。

为什么不能只查 `mysql.user` 表

MySQL 8.0+ 中 mysql.user 表仅保留极少数全局权限字段（如 Select_priv），且值为 'Y'/'N' 字符串，无法反映实际操作能力；它完全不包含库级（mysql.db）、表级（mysql.tables_priv）、列级、角色继承或动态权限。执行 SELECT * FROM mysql.user WHERE User = 'appuser' 看到的只是“有没有全局 SELECT 权”，不是“能不能查 mydb.users”。

`SHOW GRANTS FOR` 必须写全 `'user'@'host'`

漏掉 @'host' 或用错引号会直接报错：

SHOW GRANTS FOR 'api_user'; → 报错 ERROR 1141 (42000): There is no such grant defined
SHOW GRANTS FOR "api_user"@'localhost'; → 语法错误（双引号非法）
正确写法只有：SHOW GRANTS FOR 'api_user'@'localhost'; 或 SHOW GRANTS FOR 'api_user'@'10.20.30.%';

主机名必须和 mysql.user 表中存储的完全一致（包括通配符 % 和下划线 _ 的语义），否则匹配失败。

角色权限不会自动展开，需单独查

SHOW GRANTS FOR 'dev'@'%'; 输出里如果出现 GRANT ROLE 'analyst' TO 'dev'@'%'，这只是说明角色被赋予了，不代表你能看到该角色内含的 SELECT、EXECUTE 等实际权限：

MySQL8 CRM Schema Design Expert

面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。

下载

先确认角色是否激活：SELECT ROLE_NAME FROM INFORMATION_SCHEMA.ENABLED_ROLES;
再查角色本身：SHOW GRANTS FOR ROLE 'analyst';（注意单引号不能省）
普通用户无权执行带 FOR ROLE 的语句，需高权限账号操作

忽略这一步，就等于只看了“权限的目录”，没翻“目录里的内容”。

批量导出所有用户权限的最小可行脚本

没有一键 SQL 能拼出全部权限，必须循环调用 SHOW GRANTS FOR。以下 shell 命令可安全落地：

mysql -Nse "SELECT CONCAT('\'', User, '\'@\'', Host, '\'') FROM mysql.user" | \
while read u; do
  echo "-- $u" >> grants-all.sql
  mysql -Nse "SHOW GRANTS FOR $u" >> grants-all.sql 2>/dev/null || \
    echo "GRANT USAGE ON *.* TO $u;" >> grants-all.sql
done

关键点：

-N 去除列头，-s 禁用表格格式，避免解析失败
2>/dev/null 屏蔽无权查看用户的报错（如普通用户查 root）
GRANT USAGE ON *.* TO ... 是 fallback 占位，表示该账号存在但无显式权限——但它仍可能有库/表级权限，需另行检查 mysql.db 等表

真正难的不是命令怎么写，而是理解 CURRENT_USER() 和 USER() 的差异、角色是否激活、以及 host 匹配的精确性——这些细节一旦错，看到的权限快照就是假的。