mysql中实现“只insert不delete”需显式授予insert（及必要select）权限，并确保delete从未被授予；列级授权可进一步限制插入字段，权限变更后须重连验证。
只给INSERT不给DELETE，必须显式控制权限组合
MySQL没有“禁止”语法，只有“授予”和“未授予”。想让某用户能插入但不能删除，核心是只授INSERT，且确保DELETE权限从未被授予——哪怕一次也不行。常见错误是顺手执行了GRANT ALL PRIVILEGES或之前用GRANT SELECT, INSERT, UPDATE, DELETE授过全DML权限，之后只加INSERT不会覆盖旧权限。
实操要点：
- 先查当前权限：
SHOW GRANTS FOR 'user'@'host';，确认输出里不含DELETE - 如有，必须显式回收：
REVOKE DELETE ON db_name.table_name FROM 'user'@'host'; - 再授最小权限：
GRANT INSERT ON db_name.table_name TO 'user'@'host'; - 注意：
INSERT权限独立于SELECT，不授SELECT时，用户无法确认插入是否成功（除非有返回值或应用层捕获）
INSERT权限生效的前提：用户还得有表结构可见性
仅授INSERT还不够。如果用户连DESCRIBE table_name或SHOW COLUMNS都执行不了，就无法知道字段名、类型、是否允许NULL，实际插入会频繁报错。MySQL要求用户至少对表有SELECT权限才能获取元数据（即使不读数据），否则会报ERROR 1142 (42000): INSERT command denied to user这类看似矛盾的错误。
所以真实可用的最小权限组合通常是：
GRANT SELECT, INSERT ON db_name.table_name TO 'user'@'host';- 不授
UPDATE、DELETE、DROP、ALTER - 若业务真不需要看数据，可用
GRANT INSERT ON db_name.table_name TO 'user'@'host';+ 配合应用层硬编码字段列表，但调试成本高
列级INSERT权限能进一步缩小写入范围
如果只要求用户只能往特定字段插入（比如只允许填status和updated_at，禁止碰id或created_at），可以用列级授权：
GRANT INSERT(status, updated_at) ON db_name.table_name TO 'user'@'host';
注意两点：
- 列级
INSERT只校验VALUES中出现的列，不校验SELECT字段；但若SQL里带WHERE或子查询引用了未授权列，仍会报错 - 撤销时也必须列级：
REVOKE INSERT(status, updated_at) ON db_name.table_name FROM 'user'@'host';，用REVOKE INSERT ON ...（无列名）无效 - 列级权限在
mysql.user等系统表上不生效，仅适用于普通业务表
权限变更后要验证实际行为，别信“应该可以”
MySQL权限缓存是内存中的，GRANT/REVOKE后无需FLUSH PRIVILEGES（8.0+默认自动重载），但权限检查发生在连接建立时。所以已存在的连接不会立即生效——必须让该用户断开重连，或用新连接测试。
验证步骤建议直接登录后跑两条命令：
-
INSERT INTO db_name.table_name (col1, col2) VALUES ('a', 'b');→ 应成功 -
DELETE FROM db_name.table_name WHERE id = 1;→ 应报ERROR 1142 (42000): DELETE command denied to user - 额外测一句
SELECT * FROM db_name.table_name LIMIT 1;，确认是否意外开了读权限
最容易被忽略的是：权限作用域写成db_name.*而非db_name.table_name，结果把整库的DELETE都放开了；或者主机名写成'user'@'%'却忘了'user'@'localhost'是另一条记录，导致本地测试看似生效，远程连接却越权。
