MySQL 權限系統深度解析：user/db/tables_priv 五層授權模型與最佳實踐

編輯：MySQL 綜合教學

權限系統架構：五張核心表

權限資料儲存於 mysql 系統庫：

表	作用域	核心欄位
`user`	全域 (伺服器級)	Host, User, Password, Select_priv, Update_priv... (全域權限)
`db`	資料庫級	Host, Db, User, Select_priv...
`tables_priv`	資料表級	Host, Db, User, Table_name, Table_priv (SET 型別)
`columns_priv`	欄位級	Host, Db, User, Table_name, Column_name, Column_priv
`procs_priv`	存儲程序/函數級	Host, Db, User, Routine_name, Routine_type, Proc_priv

任一層級滿足即通過，層層遞進。

核心欄位：Host、User、Password (實際存 PASSWORD() 雜湊值)。
密碼加密：INSERT INTO user (Host,User,Password) VALUES ('%','bill',PASSWORD('12345')); 切勿存明文。
全域權限慎給：user 表權限對所有庫生效，含 mysql 系統庫。除 root 外建議全 N，改用 db 表授權。
Host 匹配：localhost (socket)、127.0.0.1 (TCP)、% (任意主機)、192.168.1.% (網段)。Root 建議僅 localhost。
手動改權限後必須 FLUSH PRIVILEGES;。

GRANT SELECT,INSERT,UPDATE,DELETE,CREATE,DROP,INDEX,ALTER ON bill_db.* TO 'bill'@'%';

Table_priv / Column_priv 為 SET 型別，可選 SELECT,INSERT,UPDATE,DELETE,CREATE,DROP,GRANT,INDEX,ALTER,REFERENCES。
場景：開發僅需 SELECT、分析師需特定敏感欄位 SELECT、應用帳號禁止 DROP。

最小權限原則：只給業務必要權限。
避免 GRANT OPTION：除 DBA 外不給，防止權限傳遞失控。
按網段授權：'app'@'10.0.1.%' 而非 '%'。
定期審計：SELECT User,Host FROM mysql.user WHERE User NOT IN ('root','repl','monitor');
MySQL 8.0 角色系統：CREATE ROLE 'app_read'; GRANT SELECT ON db.* TO 'app_read'; GRANT 'app_read' TO 'user'@'%';

錯誤	原因	解決
Access denied for user 'x'@'host'	user 表無此 Host/User 組合	新增對應 Host 記錄或用 %
Access denied for user 'x'@'%' to database 'db'	db 表缺授權	GRANT ON db.* TO 'x'@'%'
Table 'x' doesn't exist	tables_priv 缺 SELECT	GRANT SELECT ON db.x TO 'x'@'%'
Command denied to user 'x'@'%' for table 'mysql.user'	無系統庫權限	正常，業務帳號不應有