mysql 8.0.16+才支持grant execute on procedure db.proc，5.7及以前需用grant execute on db.*；execute不等于可见源码，需单独管控show routine和information_schema.routines权限。
不能只写 GRANT EXECUTE ON procedure_name —— 语法直接报错，必须带库名和 PROCEDURE 关键字。
GRANT EXECUTE ON PROCEDURE 语句必须精确到库和过程名
MySQL 不接受模糊或简写形式。常见错误包括：
-
GRANT EXECUTE ON calc_score TO 'u'@'%'：缺数据库名，报ERROR 1044 -
GRANT EXECUTE ON mydb.* TO 'u'@'%'：这是授整个库所有 routine 的权限，不是“单个过程” -
GRANT EXECUTE ON PROCEDURE mydb.*：语法非法，MySQL 不支持通配符在过程名位置
正确写法只有一种：GRANT EXECUTE ON PROCEDURE `mydb`.`calc_score` TO 'u'@'%'。注意反引号不是必须，但能避免关键字冲突；点号前后不能有空格；PROCEDURE 是关键字，不可省略。
MySQL 5.7 及更早版本不支持 ON PROCEDURE 语法
如果你用的是 MySQL 5.7 或更低版本，执行 GRANT EXECUTE ON PROCEDURE ... 会直接报 ERROR 1064。这是因为该语法从 MySQL 8.0.16 才正式引入。解决办法只有两个：
- 升级到 MySQL 8.0.16+
- 降级授权方式：改用
GRANT EXECUTE ON mydb.* TO 'u'@'%'（授整个库的 routine 权限）
后者虽不精准，但在老版本中是唯一可行方案。注意它会允许调用该库下所有现有及未来创建的存储过程和函数。
EXECUTE 权限 ≠ 源码可见，但默认常被连带放开
用户能看源码，靠的是另外两个独立权限：SHOW ROUTINE 和对 INFORMATION_SCHEMA.ROUTINES 的 SELECT 权限。它们和 EXECUTE 完全解耦，也不随 EXECUTE 自动授予 —— 但很多初始化脚本或 GRANT ALL 会一并打开。
若你只要用户能 CALL，但不能 SHOW CREATE PROCEDURE 或查 ROUTINE_DEFINITION，必须显式回收：
REVOKE SHOW ROUTINE ON *.* FROM 'u'@'%'; REVOKE SELECT ON INFORMATION_SCHEMA.ROUTINES FROM 'u'@'%';
漏掉任意一条，用户仍可看到明文源码。
DEFINER 和 SQL SECURITY 决定执行成败，不是源码控制点
过程默认是 SQL SECURITY DEFINER，执行时以创建者身份检查底层表权限。这意味着：
- 即使
'u'@'%'对mydb.users表零权限，只要DEFINER（如'dba'@'localhost'）有SELECT，CALL就能成功 - 若过程声明
SQL SECURITY INVOKER，则'u'@'%'必须自己拥有对应表权限，否则报EXECUTE command denied—— 这个错误极具误导性，实际缺的是表权限，不是EXECUTE
DEFINER 设置本身对源码是否可见毫无影响，别指望它防泄露。最容易失效的点永远是：权限对象（库/过程名）拼写、主机名（'u'@'%' vs 'u'@'localhost'）、MySQL 版本兼容性 —— 这些细节不对齐，GRANT 写得再对也白搭。
