不能直接用mysqldump --all-databases备份权限表，因其默认跳过mysql库（含user、db等权限表）；即使强制导出，authentication_string等哈希字段及password_last_changed等动态时间戳会导致diff误报，必须标准化导出（如--no-create-info、--order-by-primary、过滤动态列）并统一环境才能实现可靠比对。
MySQL备份脚本里为什么不能直接用 mysqldump --all-databases 备份权限表
因为 mysqldump --all-databases 默认跳过 mysql 系统库（含 user、db、tables_priv 等权限表），除非显式加上 --skip-lock-tables --single-transaction 并单独指定 mysql 库。更关键的是：即使导出成功，mysql 库里的密码字段（如 authentication_string）是哈希值，直接 diff 文本容易因空格、排序、注释差异误报，必须标准化后再比对。
- 务必用
mysqldump --databases mysql --skip-lock-tables --no-create-info --skip-extended-insert --order-by-primary导出权限表，去掉建表语句和批量插入格式，确保每行一条记录、按主键排序，便于文本比对 - 避免使用
--complete-insert或默认的多值 INSERT，会导致同一逻辑变更在不同时间点生成不同行序 - 导出前加
SET SESSION sort_buffer_size = 268435456;（256MB）防止大表排序失败，尤其在procs_priv或自定义权限表较多时
Shell脚本中如何安全获取MySQL凭证而不暴露在 ps 或历史记录里
把用户名密码写进脚本或命令行参数，会被 ps aux 看到，也违反最小权限原则。正确做法是用 MySQL 的配置文件机制，配合文件权限控制。
- 创建专用配置文件
/etc/mysql/backup.cnf，内容为：[client] host=localhost user=backup_user password=xxx socket=/var/run/mysqld/mysqld.sock
，然后chmod 600 /etc/mysql/backup.cnf - 在脚本中调用时只写
mysqldump --defaults-extra-file=/etc/mysql/backup.cnf ...，MySQL 客户端会自动读取且不透出密码 - 不要用
export MYSQL_PWD=xxx—— 这个环境变量会被子进程继承，且可能被ps eww捕获
权限表比对时为什么 diff 直接报“大量差异”却实际没变
因为 mysql.user 表里有 password_last_changed、account_locked 时间戳字段，以及 mysql.db 中的 timestamp 列（即使未显式更新也会被 MySQL 自动刷新）。这些非权限逻辑字段会干扰比对结果。
- 导出前先过滤掉动态列：用
mysqldump --skip-extended-insert --no-create-info -w "1=1" mysql user db tables_priv procs_priv columns_priv，再用sed删除含password_last_changed、last_attempted_login、last_successful_login的行 - 对
user表，用SELECT Host,User,Select_priv,Insert_priv,... FROM mysql.user ORDER BY Host,User;显式指定字段导出，绕过不可控字段 - 比对前统一用
sort -u去重并排序，避免因 dump 顺序变化导致假阳性
定时任务里执行备份脚本为什么总提示“Access denied for user 'backup_user'@'localhost'
不是账号没权限，而是 cron 环境缺少 HOME 或 PATH，导致 MySQL 客户端找不到配置文件或解析失败。常见于 Ubuntu/Debian 系统，cron 默认 HOME=/，而 ~/.my.cnf 根本不可读。
- 在 crontab 条目开头显式设置环境：
0 2 * * * HOME=/root PATH=/usr/local/bin:/usr/bin:/bin /root/bin/mysql-backup.sh
- 给
backup_user授予最小必要权限：GRANT SELECT, LOCK TABLES ON mysql.* TO 'backup_user'@'localhost'; FLUSH PRIVILEGES;
，不需要RELOAD或SHUTDOWN - 脚本开头加校验：
if ! mysql --defaults-extra-file=/etc/mysql/backup.cnf -e "SELECT 1" >/dev/null 2>&1; then echo "MySQL login failed"; exit 1; fi
备份脚本真正难的不是定时或导出，是让两次导出的权限快照具备可比性——字段裁剪、时间戳剔除、排序归一、环境隔离，缺一不可。漏掉任意一环，告警就变成噪音。
