MySQL的权限体系是其安全机制的重要组成部分，合理的权限控制能够避免非授权操作、数据泄露、误删数据等问题，是数据库运维和开发过程中必须重视的环节。很多人对MySQL的权限管理仅停留在创建用户和简单赋权层面，很容易出现权限分配过度、权限长期不回收等导致权限被滥用的情况。
MySQL权限体系核心逻辑
MySQL的权限验证分为两个阶段：连接验证和请求验证。连接验证会检查用户的主机、用户名、密码是否匹配；请求验证则会在用户执行具体操作（如查询、插入、修改表结构）时，检查该用户是否拥有对应的操作权限。
MySQL的权限存储在不同的系统表中，核心表包括user表、db表、tables_priv表、columns_priv表，权限的优先级从高到低依次为：user表全局权限 > db表数据库级权限 > tables_priv表级权限 > columns_priv列级权限。
防止权限被滥用的实践原则
1. 遵循最小权限原则
最小权限原则是权限控制的核心，即只给用户分配完成其工作所需的最小权限，不要随意授予全局高级权限。比如应用服务的数据库用户只需要操作对应业务库的读写权限，不需要授予ALL PRIVILEGES全局权限，更不需要授予GRANT OPTION权限（该权限允许用户将自己的权限授予其他用户）。
2. 严格限制权限作用范围
在授予权限时，要明确指定权限生效的主机、数据库、表、列，避免权限作用范围过大。比如只允许应用用户从指定的应用服务器IP连接数据库，而不是允许从所有主机（%）连接。
3. 定期回收无用权限
当用户离职、业务下线、权限需求变更时，要及时回收对应的权限，避免无用权限长期留存。同时要定期审计所有用户的权限，排查是否存在权限过度分配的情况。
4. 避免共享账号
不要使用公共账号操作数据库，每个用户或每个服务都使用独立的账号，这样出现权限滥用问题时可以快速定位到责任人。
具体权限控制操作示例
创建符合规范的账号
创建账号时指定允许连接的主机，只授予对应业务库的必要权限，示例如下：
-- 创建应用用户，只允许从192.168.0.100主机连接，密码为App@123456 CREATE USER 'app_user'@'192.168.0.100' IDENTIFIED BY 'App@123456'; -- 授予app_user用户对business_db库下所有表的select、insert、update、delete权限 GRANT SELECT, INSERT, UPDATE, DELETE ON business_db.* TO 'app_user'@'192.168.0.100'; -- 刷新权限使配置生效 FLUSH PRIVILEGES;
回收多余权限
当用户不再需要某些权限时，及时回收，示例如下：
-- 回收app_user用户对business_db库的delete权限 REVOKE DELETE ON business_db.* FROM 'app_user'@'192.168.0.100'; -- 如果用户完全不再使用，直接删除账号 DROP USER 'app_user'@'192.168.0.100'; FLUSH PRIVILEGES;
查看用户权限
定期查看用户权限，排查异常权限，示例如下：
-- 查看app_user用户的全部权限 SHOW GRANTS FOR 'app_user'@'192.168.0.100'; -- 查看所有用户列表 SELECT user, host FROM mysql.user;
常见权限滥用场景及规避方法
| 滥用场景 | 风险 | 规避方法 |
|---|---|---|
| 授予普通用户ALL PRIVILEGES全局权限 | 用户可以操作所有数据库，甚至可以修改其他用户权限，风险极高 | 严格遵循最小权限原则，只授予业务所需的对应库表权限 |
| 允许账号从所有主机（%）连接 | 攻击者如果拿到账号密码，可以从任意IP尝试连接数据库 | 创建账号时指定固定的允许连接主机，不要使用% |
| 长期不回收离职员工账号 | 离职员工仍可以访问数据库，存在数据泄露风险 | 建立账号生命周期管理机制，离职时及时删除对应账号 |
| 使用root账号直接操作业务 | root账号拥有最高权限，操作失误会直接影响整个数据库实例 | 禁止使用root账号进行业务操作，日常操作使用普通权限账号 |
权限审计实践
除了日常的权限分配和回收，定期开展权限审计也是防止权限滥用的重要手段。可以通过编写脚本定期导出所有用户的权限，对比权限分配规范，排查是否存在权限过度分配、无用权限留存等问题。以下是一个简单的权限导出示例：
-- 导出所有用户的权限信息到文件
SELECT CONCAT("SHOW GRANTS FOR '", user, "'@'", host, "';") AS grant_sql FROM mysql.user INTO OUTFILE '/tmp/all_user_grants.sql';
执行上述语句后，可以运行生成的all_user_grants.sql文件，获取所有用户的权限详情，逐一排查是否符合权限规范。
做好MySQL权限控制需要长期规范操作，从账号创建、权限分配到定期审计形成完整的闭环，才能最大程度避免权限被滥用，保障数据库的数据安全。