如何在MySQL中给用户授予指定单张表的SELECT权限-mysql教程-PHP中文网

mysql表级select授权必须指定数据库名，如grant select on db.table to 'u'@'h'；用户须预先创建，列权限和definer视图可能绕过限制。

如何在mysql中给用户授予指定单张表的select权限

GRANT SELECT ON table_name 语法必须带数据库名

MySQL 的权限系统不支持脱离数据库上下文直接授权给“某张表”，GRANT SELECT ON my_table TO 'user'@'host' 这种写法会报错 ERROR 1144 (42000): Illegal GRANT/REVOKE command; please consult the manual to see which privileges can be used。必须显式指定数据库名，格式为 database_name.table_name。

实操建议：

先确认目标表所在的数据库：SELECT DATABASE(); 或查 information_schema.tables
授权语句必须写成：GRANT SELECT ON mydb.users TO 'reporter'@'192.168.1.%';
如果数据库名含特殊字符（如短横线、空格），要用反引号包裹：GRANT SELECT ON `my-db`.`log_table` TO 'reader'@'%';
执行后别忘了 FLUSH PRIVILEGES; —— 虽然多数情况下自动生效，但在某些 MySQL 版本或配置下仍需手动刷新

用户不存在时不能直接 GRANT，得先 CREATE USER

MySQL 8.0+ 默认禁止隐式创建用户。如果 'alice'@'localhost' 尚未存在，直接 GRANT SELECT ON sales.orders ... 会报错 ERROR 1410 (42000): You are not allowed to create a user with GRANT。

正确顺序是：

先创建用户（指定认证插件更稳妥）：CREATE USER 'alice'@'localhost' IDENTIFIED WITH mysql_native_password BY 'p@ssw0rd';
再授权：GRANT SELECT ON finance.invoices TO 'alice'@'localhost';
如只需登录权限不执行任何操作，可跳过 GRANT，但必须有 USAGE 权限，否则连接会拒绝

只授 SELECT 权限不等于能访问表里所有字段

MySQL 的列级权限是独立控制的，GRANT SELECT 默认授予整张表所有列。但如果你后续执行了 REVOKE SELECT(col_a) ON db.t FROM 'u'@'h'，那么即使有表级 SELECT 权限，查询 col_a 也会被拒绝。

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

验证当前用户对某表的实际可查字段：

SELECT COLUMN_NAME, IS_NULLABLE, DATA_TYPE
FROM information_schema.COLUMNS 
WHERE TABLE_SCHEMA = 'mydb' AND TABLE_NAME = 'users'
AND COLUMN_NAME IN (
  SELECT COLUMN_NAME FROM information_schema.COLUMN_PRIVILEGES 
  WHERE TABLE_SCHEMA = 'mydb' AND TABLE_NAME = 'users' 
    AND GRANTEE = '''reporter''@''%'''
    AND PRIVILEGE_TYPE = 'SELECT'
);

注意：这个查询依赖 COLUMN_PRIVILEGES 视图，它仅在显式授过列权限时才返回非空结果；默认未设列权限时，该视图无记录，表示整表可查。

撤销权限后残留的 DEFINER 或 VIEW 依赖可能引发间接访问

如果用户虽无直接 SELECT 权限，但拥有某个 DEFINER = 'root'@'%' 的视图（CREATE VIEW v_users AS SELECT * FROM users），且该视图被设为 SQL SECURITY DEFINER，则用户执行 SELECT * FROM v_users 仍能读取原表数据——权限检查按 DEFINER 身份进行。

排查这类隐蔽通道：

查用户创建的视图：SELECT TABLE_NAME, DEFINER, SECURITY_TYPE FROM information_schema.VIEWS WHERE DEFINER LIKE '%user%';
查用户拥有的存储过程/函数：SELECT ROUTINE_NAME, DEFINER FROM information_schema.ROUTINES WHERE DEFINER LIKE '%user%';
真正限制访问，要一并 DROP VIEW 或改 SQL SECURITY INVOKER，不能只靠撤表权限

权限粒度比想象中更细，表级 SELECT 只是起点；DEFINER、列权限、视图链路这些环节稍不注意，就可能让授权形同虚设。