最准确的权限导出方式是使用 show grants for 'user'@'host'，它能完整还原含层级、with grant option 和角色继承的可执行授权语句，而直接查 mysql.user 或 mysql.db 表会丢失 grant 结构、库表列级权限等关键信息。
直接查 mysql.user 和 mysql.db 表导出权限不可靠
很多人第一反应是 SELECT 用户、主机、Select_priv 等字段，但这样只能看到全局权限的布尔值，完全丢失了 GRANT 语句结构、库表级权限（如 ON `test`.*）、列级权限、WITH GRANT OPTION、密码哈希格式等关键信息。MySQL 不存储原始授权语句，但提供了生成它的机制。
用 SHOW GRANTS FOR 'user'@'host' 是最准的方式
这是 MySQL 原生支持的、唯一能还原出可执行授权语句的方法。它会按实际生效的权限层级（global → db → table → column）拼出完整的 GRANT 语句，并自动处理 WITH GRANT OPTION 和角色继承（8.0+）。
- 必须用带引号的完整用户名和主机名，比如
SHOW GRANTS FOR 'app_user'@'10.20.%'；只写用户名会默认匹配'user'@'%'，可能错配 - 如果用户不存在或无权查看，会报错
ERROR 1141 (42000): There is no such grant defined for user ... - 执行者需有
SELECT权限在mysql系统库，或拥有SELECT权限本身（5.7+ 默认限制更严）
批量导出多个用户的权限要用脚本拼接
MySQL 没有内置命令一键导出所有用户权限，得靠客户端配合 shell 或 Python 脚本。核心思路是：先查出所有目标用户（过滤掉 mysql.session、mysql.infoschema 等系统账户），再对每个用户循环执行 SHOW GRANTS。
一个可用的 Linux + mysql 客户端方案：
mysql -N -s -u root -p -e "SELECT CONCAT('\'', user, '\'@\'', host, '\'') FROM mysql.user WHERE user NOT IN ('mysql.session','mysql.sys','mysql.infoschema') AND user != ''" | while read u; do echo "-- $u"; mysql -N -s -u root -p -e "SHOW GRANTS FOR $u"; done > grants.sql
-
-N去除列名，-s禁用表格格式，确保输出干净可解析 - 注意
CONCAT中单引号和反斜杠的转义，否则SHOW GRANTS会语法错误 - 8.0+ 若启用了
caching_sha2_password认证，root 用户可能需指定--default-auth=mysql_native_password
导出后不能直接当备份用，要注意权限上下文
SHOW GRANTS 输出的是当前生效权限，但执行时依赖环境：比如 CREATE USER 语句不会自动包含，若目标实例中该用户不存在，直接运行 GRANT 会报错 ERROR 1133 (42000)；另外，角色权限（8.0+）和动态权限（如 BACKUP_ADMIN）也会被列出，但恢复时需确认目标版本是否支持。
真正安全的导出应配套生成 CREATE USER 语句（从 mysql.user 查 authentication_string、account_locked 等字段），并人工校验 max_questions、max_connections 等资源限制项——这些都不会出现在 SHOW GRANTS 结果里。
