在DBeaver中执行REVOKE语句必须使用具备GRANT OPTION权限的账号（如授权者或root）连接，且对象名须与SHOW GRANTS输出逐字一致；MySQL 8.0中需额外处理空用户''@''对information_schema等库的隐式权限，并执行FLUSH PRIVILEGES，同时新开SQL标签页验证生效。
在DBeaver里执行REVOKE语句必须用对应账号连接
你不能用root或admin账号在DBeaver里直接点右键“Revoke Privileges”就完事——DBeaver的图形化权限管理功能（如右键表→Edit Permissions）只对当前连接用户有权限的对象生效，且**不支持跨用户撤销**。真正回收权限，得手动写REVOKE语句并用**被授权用户的宿主账号**（比如sysdba或mysql.user中实际拥有该权限的账号）去执行。
常见错误现象：
– 用root连上后，在GUI里选中test用户的表点“Revoke”，界面没报错但实际没生效
– 执行REVOKE SELECT ON app_db.t1 FROM 'user1'@'%';返回“Query OK”，但user1仍能查——因为当前连接不是'user1'@'%'的授权者，也不是root（MySQL要求撤销者必须有GRANT OPTION且权限范围覆盖被撤销项）
- 先确认谁授的权：用
SHOW GRANTS FOR 'user1'@'%';看原始GRANT语句里的ON子句和主机名 - 用具备
GRANT OPTION的账号连接（通常是创建该用户的账号，或root） -
REVOKE语句中的数据库名、表名、主机名必须和SHOW GRANTS输出**逐字一致**，包括反引号、大小写、通配符
MySQL 8.0里想清掉“默认可查information_schema”得动空用户授权
你在DBeaver里执行REVOKE ALL PRIVILEGES ON *.* FROM 'user1'@'%';后，发现user1还能SELECT FROM information_schema.TABLES——这不是DBeaver的问题，是MySQL 8.0的机制：它没有真正的PUBLIC角色，而是把权限隐式给了''@''（空用户名+空主机）这个虚拟主体。
这类权限不会出现在SHOW GRANTS FOR 'user1'@'%'里，所以你根本“看不见”它从哪来。
- 先查源头：
SELECT Host, Db, Select_priv FROM mysql.db WHERE User = '' AND Host = ''; - 针对性回收：
REVOKE SELECT ON information_schema.* FROM ''@'';（注意是两个单引号） - 同理处理
performance_schema和sys库 - 执行
FLUSH PRIVILEGES;——这步不能省，否则系统表修改不加载进内存
注意：回收后所有用户（包括root）都会失去这些库访问权，备份脚本、监控SQL可能直接报错。
权限改了但DBeaver里还是能操作？旧连接没断
DBeaver默认复用连接，哪怕你在SQL编辑器里执行了REVOKE，只要没关掉那个SQL标签页或没重启DBeaver，当前会话就还带着旧权限快照。这不是缓存没刷新，是MySQL本身的设计：权限只在TCP握手/连接建立时读一次系统表。
- 验证是否生效，必须新开一个SQL编辑器标签页（或右键连接→
Disconnect再Connect） - 如果用的是连接池（比如DBeaver配置了“Max connections”>1），要关掉整个连接，再重新打开
- 命令行快速验证：
mysql -u user1 -p -h 127.0.0.1，别用localhost（它走socket，权限匹配规则不同） - 生产环境别依赖
FLUSH PRIVILEGES来“即时生效”，它只刷新ACL缓存，不影响已存在连接
PostgreSQL或SQL Server在DBeaver里回收权限更直接
和MySQL不同，PostgreSQL的REVOKE是事务安全的，且权限变更对新查询立即可见；SQL Server则通过DENY优先级高于GRANT的机制控制。DBeaver对这两者的图形化支持也更可靠——右键表→Edit Permissions能直接勾选取消SELECT、INSERT等权限，并生成对应语句。
但仍有坑：
- PostgreSQL里
REVOKE不级联：撤掉schema权限，已授予该schema下具体表的权限还在，得挨个REVOKE或用REVOKE ... ON ALL TABLES IN SCHEMA - SQL Server中
DENY比REVOKE更彻底，但DENY无法被角色继承覆盖，容易误锁死权限 - 所有数据库都一样：撤销
USAGE（PostgreSQL）或CONNECT（SQL Server）权限才能阻止登录，只撤SELECT等操作权限，用户仍能连上只是干不了事
最易被忽略的一点：权限语句里的对象名（库、表、列）如果含下划线、短横线或大小写混合，必须用双引号（PostgreSQL）或方括号（SQL Server）包裹，否则DBeaver自动生成的语句会漏掉这些符号，导致撤销失败。
