如何在MySQL中批量导出并导入所有用户的权限配置脚本-mysql教程-PHP中文网

导出用户权限的正确方式是用 mysqldump 导出 mysql 系统库中 user、db、tables_priv 等权限表，并手动清理 authentication_string 等敏感字段；导入前需调整 sql_mode、分离 CREATE USER 与 GRANT、验证版本兼容性，且必须执行 FLUSH PRIVILEGES 并用实际账号测试连接与权限。

如何在mysql中批量导出并导入所有用户的权限配置脚本

导出所有用户权限的正确方式是用 `mysqldump` 配合 `--no-data --skip-triggers`

直接查 mysql.user 或 mysql.db 表再拼 SQL 是危险且不完整的——MySQL 8.0+ 的角色、动态权限（如 APPLICATION_PASSWORD_ADMIN）、列级权限、存储过程权限等都不会被覆盖。官方推荐路径是导出 mysql 系统库的权限相关表结构 + 数据，但只取权限部分。

实际操作中更稳妥的是用 mysqldump 导出权限元数据表，并过滤掉密码哈希和主机 wildcard 冲突风险：

mysqldump -u root -p --no-data mysql user db tables_priv columns_priv procs_priv proxies_priv：先导出建表语句，确认字段兼容性
mysqldump -u root -p --skip-triggers --compact --skip-extended-insert mysql user db tables_priv columns_priv procs_priv proxies_priv > grant_backup.sql：导出可读性强、便于人工检查的单行 INSERT
导出后务必手动删掉 user 表中的 authentication_string 和 password_last_changed 字段值（保留 NULL 或空字符串），否则导入会覆盖目标实例的密码策略

导入前必须停用 `sql_mode=NO_AUTO_CREATE_USER` 并检查 MySQL 版本兼容性

MySQL 5.7 默认启用 NO_AUTO_CREATE_USER，而导出的 GRANT 语句若含 IDENTIFIED BY 会报错 ERROR 1290 (HY000): The MySQL server is running with the --skip-grant-tables option 类似提示——其实不是跳过权限表，而是该 sql_mode 禁止在 GRANT 中隐式创建用户。

解决方法分两步：

导入前执行 SET sql_mode=(SELECT REPLACE(@@sql_mode,'NO_AUTO_CREATE_USER',''));（MySQL 5.7.21+ 支持）
或改用 CREATE USER IF NOT EXISTS + GRANT 分离写法：先从 grant_backup.sql 中提取所有 CREATE USER 语句（grep 'CREATE USER'），单独执行；再执行其余 GRANT 语句
MySQL 8.0 导出的脚本不能直接导入 5.7：password_history、password_reuse_interval 等字段不存在，需提前 sed 删除对应列和值

用 `SELECT ... INTO OUTFILE` 手动拼 `SHOW GRANTS` 脚本仅适合简单场景

如果只要快速重建几个核心账号（比如 app_user@'%'、backup@'10.0.0.%'），比 dump 系统表更轻量的方式是生成标准 GRANT 语句：

MySQL8 CRM Schema Design Expert

面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。

下载

SELECT CONCAT('SHOW GRANTS FOR ''',user,'''@''',host,''';') 
FROM mysql.user 
WHERE user NOT IN ('mysql.infoschema','mysql.session','mysql.sys') 
  AND host != 'localhost';

把结果复制进客户端逐条执行，再用 sed 's/^Grants for /-- /' | sed 's/$/;/' 整理成可执行脚本。但注意：

SHOW GRANTS 不返回角色绑定关系（SET DEFAULT ROLE）、资源组权限、密码历史策略
输出中若含 IDENTIFIED WITH caching_sha2_password AS '$A$...'，导入时需确保目标实例已加载对应认证插件，否则报错 ERROR 1410 (42000): You are not allowed to create a user with GRANT
该方式无法还原 INFORMATION_SCHEMA 级别权限（如 SELECT ON INFORMATION_SCHEMA.STATISTICS），因为 SHOW GRANTS 不显示这类权限

权限导入后必须执行 `FLUSH PRIVILEGES` 且验证连接而非仅看语句是否成功

即使所有 GRANT 语句都返回 Query OK，权限也不会立即生效——MySQL 权限缓存不会自动刷新。漏掉这步会导致新用户连得上但执行 SELECT 报 ERROR 1142 (42000): SELECT command denied。

验证要点很具体：

不要只用 root 用户验证，要用刚导入的用户账号（如 mysql -u app_user -p -h 127.0.0.1）实连测试
对多主机账号（如 dev_user@'192.168.1.%'），必须从对应网段 IP 连接，不能只测 localhost
若目标实例开启了 require_secure_transport=ON，而导出账号没配 REQUIRE SSL，连接会直接拒绝，此时要补 ALTER USER ... REQUIRE SSL

真正麻烦的从来不是导出或导入语句本身，而是权限生效路径依赖于客户端连接方式、主机解析顺序、SSL 配置、甚至 PAM 插件状态——这些细节不会出现在任何一条 GRANT 语句里。