'user'@'localhost'和'user'@'%'是MySQL中两个完全独立的账号，密码、权限、认证配置均各自存储、互不影响；本地socket连接优先匹配localhost，远程TCP连接才可能匹配%或具体IP。
MySQL中'user'@'localhost'和'user'@'%'是两个完全独立的账号
这不是“权限覆盖”，而是根本不存在共享或继承关系。MySQL把 'user'@'localhost' 和 'user'@'%' 当作两条互不相干的记录，分别存于 mysql.user 表中。它们的密码、认证插件、过期策略、全局权限字段（如 Select_priv）全都是独立存储、独立生效的。
常见误解是以为“% 更宽泛，所以会覆盖 localhost”，但实际行为恰恰相反：MySQL 在认证时按“最具体匹配”原则选择账号——localhost 比 % 更精确，本地连接优先命中 'user'@'localhost'；而远程连接（比如从 192.168.1.50）才可能匹配到 'user'@'%' 或 'user'@'192.168.1.%'。
- 本地命令行
mysql -u user -p默认走 socket 连接，强制匹配'user'@'localhost'，哪怕你只给'user'@'%'授了权，也连不上 - 应用配置里写
host: 127.0.0.1，走 TCP 连接，这时匹配的是'user'@'127.0.0.1'或'user'@'%'，不是'user'@'localhost' - 同一个用户名在不同 host 下执行
SHOW GRANTS FOR 'user'@'localhost'和SHOW GRANTS FOR 'user'@'%'，返回结果通常完全不同
为什么误以为“权限被覆盖”？
典型现象是：开发说“我明明给 'app'@'%' 授了 SELECT 权限，但程序报 Access denied”，查日志发现程序连的是 127.0.0.1，而你只建了 'app'@'%'，没建 'app'@'127.0.0.1' 或 'app'@'localhost'。这时候不是权限被覆盖，是压根没匹配到任何有效账号。
另一个高发场景是 root 用户：安装后自带 'root'@'localhost'，你手动创建 'root'@'%' 并授了权，但忘了删掉旧的 'root'@'localhost'。结果运维本地用 mysql -u root 登录成功，却误以为远程也能通——其实远程连的是另一个账号，权限可能还没配。
- 用
SELECT User, Host FROM mysql.user WHERE User = 'xxx';查清所有同名用户实例 - 用
SELECT CURRENT_USER();确认当前连接实际匹配的是哪个'user'@'host' - 不要依赖
'user'@'%'覆盖所有情况；生产环境应显式创建'user'@'localhost'、'user'@'127.0.0.1'、'user'@'192.168.1.%'等明确 host 的账号
GRANT 不会跨 host 同步权限
执行 GRANT SELECT ON db.t1 TO 'user'@'%'; 只影响 mysql.user 和 mysql.db 中对应 'user'@'%' 的记录，对 'user'@'localhost' 的任何字段都不产生任何修改。
MySQL 数据库管理技能，能够通过自然语言查询和管理数据库，支持 SELECT/INSERT/UPDATE/DELETE、表管理、备份恢复等操作。当用户提及 MySQL、数据库查询、建表或数据备份时使用此技能。
更隐蔽的问题是权限层级叠加：假设你对 'user'@'%' 执行了 GRANT SELECT ON *.*，又对 'user'@'localhost' 执行了 GRANT INSERT ON db.*，这两个操作完全独立，不会互相抵消或覆盖。但如果你后续对 'user'@'%' 执行 REVOKE ALL ON *.*，也只是清除它自己的全局权限，'user'@'localhost' 的库级 INSERT 权限依然健在。
- 权限撤销（
REVOKE）只作用于指定的'user'@'host'，不会波及其他 host 实例 - 没有“统一管理同名用户所有 host 权限”的语法；必须逐个 host 操作
- 使用角色（MySQL 8.0+）可缓解重复授权问题，但角色本身仍需绑定到具体
'user'@'host'
最容易被忽略的细节：localhost ≠ 127.0.0.1
这是线上故障高频点。MySQL 对 localhost 有特殊处理：当 host 字段为 'localhost' 时，客户端强制走 Unix socket 连接，不经过 TCP/IP 栈；而 127.0.0.1 是标准 IPv4 地址，走 TCP 连接。两者认证时匹配的账号完全不同。
这意味着：即使你只创建了 'user'@'localhost'，程序用 host: localhost 能连，但换成 host: 127.0.0.1 就失败；反之亦然。很多 ORM 或容器化部署默认用 127.0.0.1，导致本地测试通过、上线后报错。
- 测试连接时，显式用
mysql -h localhost -u user -p和mysql -h 127.0.0.1 -u user -p分别验证 - 生产环境建议统一用 IP 或域名，避免
localhost这种语义模糊的 host 值 - 若必须支持两种连接方式，就同时创建
'user'@'localhost'和'user'@'127.0.0.1'
