MySQL不支持列级UPDATE权限，仅允许SELECT/INSERT列级授权；UPDATE和DELETE只能作用于整表，需通过视图+存储过程+权限管控模拟字段级写控制。
MySQL不支持直接对字段授予UPDATE权限
MySQL原生不提供UPDATE到单个列的语法——你不能写GRANT UPDATE(name, email) ON db.user TO 'app'@'%'，这种写法会报错ERROR 1064 (42000)。官方文档明确说明：列级权限仅支持SELECT和INSERT，UPDATE和DELETE只能作用于整张表。
用视图 + 列级SELECT + 存储过程模拟字段级UPDATE
要让应用“只能更新某些字段”，实际可行路径是绕过原生限制，组合使用视图、存储过程和触发器。核心思路是：把可更新字段封装进视图，再用存储过程控制写入逻辑。
- 先创建只暴露允许更新字段的视图：
CREATE VIEW user_updatable AS SELECT id, name, email FROM mydb.users;
- 给用户授予该视图的
SELECT和UPDATE权限：GRANT SELECT, UPDATE ON mydb.user_updatable TO 'app'@'%';
- 但注意：视图上的
UPDATE仍可能被MySQL拒绝（如含JOIN或聚合），所以更稳的方式是禁用视图更新，改用存储过程： - 创建安全的更新过程：
DELIMITER $$<br>CREATE PROCEDURE update_user_name_email(IN p_id INT, IN p_name VARCHAR(50), IN p_email VARCHAR(100))<br>BEGIN<br> UPDATE mydb.users SET name = p_name, email = p_email WHERE id = p_id;<br>END$$<br>DELIMITER ;
- 然后授权执行权限：
GRANT EXECUTE ON PROCEDURE mydb.update_user_name_email TO 'app'@'%';
为什么不能依赖REVOKE屏蔽字段？
有人尝试先授全表UPDATE，再REVOKE UPDATE(email) ON db.users——这在MySQL中无效。REVOKE不支持列级撤销，且列级UPDATE本身就不被解析。执行后不会报错，但也不会生效，用户依然能更新所有字段。
win可用的mysql指令skill
下载
安装、修复、更新或打包一个基于 Python 和 PyMySQL 实现的 Windows `mysql` 命令。适用于用户希望在 PowerShell/CMD 中输入 `mysql` 时重定向到 Python 实现、需要交互式输入 MySQL 连接信息、需要同步到当前用户本地 bin 目录，或需要将该能力封装成可公开复用的 Codex skill。
- 验证方式：用该用户连接后执行
SHOW GRANTS FOR 'app'@'%';，你会发现列级REVOKE记录根本不会出现在输出里 - 真正起作用的只有
GRANT SELECT(col1, col2)这类显式列授权，且仅限SELECT/INSERT - 如果业务强依赖字段级写权限控制，建议把校验逻辑提到应用层或用代理层（如ProxySQL）做SQL重写
生产环境最容易忽略的一点
即使用了视图或存储过程，也要确认用户没有TRIGGER或ALTER权限——否则他们可以自己创建触发器，在你不知情的情况下修改其他字段。检查命令：
SELECT * FROM information_schema.role_table_grants WHERE grantee LIKE "'app'@'%'" AND privilege_type IN ('TRIGGER', 'ALTER');
如果返回非空结果，立刻REVOKE TRIGGER, ALTER ON mydb.* FROM 'app'@'%';
