MySQL的权限体系是数据库安全的第一道防线，合理的权限设计既能保障业务正常运行，又能最大程度降低数据泄露和误操作风险。最小权限原则要求每个用户仅拥有完成自身工作所必需的最小权限，避免过度授权带来的安全隐患。
MySQL权限体系的核心组成
MySQL的权限分为全局权限、数据库级权限、表级权限、列级权限和存储过程权限五个层级，权限作用范围从大到小依次递减。权限信息存储在mysql系统库的多个表中，核心表包括user、db、tables_priv、columns_priv。
权限层级说明
- 全局权限：作用于整个MySQL实例，比如创建用户、关闭数据库等权限，存储在
user表 - 数据库级权限：作用于指定数据库的所有对象，存储在
db表 - 表级权限：作用于指定数据库的指定表，存储在
tables_priv表 - 列级权限：作用于指定表的指定列，存储在
columns_priv表 - 存储过程权限：作用于指定存储过程和函数，存储在
procs_priv表
最小权限原则的实践步骤
1. 按业务角色拆分用户
首先根据业务场景拆分不同的用户角色，避免一个用户拥有过多权限。常见的角色包括只读查询用户、业务写入用户、运维管理用户、备份用户等。
创建只读用户的示例代码如下：
-- 创建只读用户，仅允许从指定IP登录，密码为自定义密码 CREATE USER 'read_user'@'192.168.0.%' IDENTIFIED BY 'your_password_here'; -- 授予对业务库test_db的所有表的SELECT权限 GRANT SELECT ON test_db.* TO 'read_user'@'192.168.0.%'; -- 刷新权限使配置生效 FLUSH PRIVILEGES;
2. 控制权限的作用范围
尽量将权限控制在最小的作用范围，不要随意授予全局权限。比如业务写入用户只需要对业务库的指定表有INSERT、UPDATE权限，不需要授予DROP、ALTER等修改表结构的权限。
创建业务写入用户的示例代码如下：
-- 创建业务写入用户 CREATE USER 'write_user'@'192.168.0.%' IDENTIFIED BY 'your_password_here'; -- 仅授予对test_db库下order表、user表的INSERT、UPDATE权限 GRANT INSERT, UPDATE ON test_db.order TO 'write_user'@'192.168.0.%'; GRANT INSERT, UPDATE ON test_db.user TO 'write_user'@'192.168.0.%'; FLUSH PRIVILEGES;
3. 限制登录来源IP
创建用户时指定允许的登录IP段，避免允许任意IP登录。如果是内部服务调用，可以限制为服务所在的IP段；如果是运维人员登录，可以限制为办公网IP段。
4. 定期审计权限配置
定期查询权限表，检查是否存在过度授权、闲置用户、异常权限的情况。可以查询mysql.user表查看所有用户的全局权限，查询mysql.db表查看数据库级权限。
查询所有用户权限的示例代码如下：
-- 查询所有用户的全局权限信息 SELECT user, host, Select_priv, Insert_priv, Update_priv, Delete_priv, Drop_priv FROM mysql.user; -- 查询指定数据库的权限分配情况 SELECT * FROM mysql.db WHERE Db = 'test_db';
常见场景的权限配置方案
场景1：应用服务连接数据库
应用服务只需要对业务表有增删改查权限，不需要管理权限。建议单独创建应用用户，仅授予对应表的SELECT、INSERT、UPDATE、DELETE权限，禁止授予GRANT、DROP、ALTER等权限。
场景2：数据备份
备份用户只需要全局的SELECT权限和LOCK TABLES权限，用于导出数据。不要授予其他不必要的权限。
创建备份用户的示例代码如下：
-- 创建备份用户 CREATE USER 'backup_user'@'127.0.0.1' IDENTIFIED BY 'your_password_here'; -- 授予全局SELECT和LOCK TABLES权限 GRANT SELECT, LOCK TABLES ON *.* TO 'backup_user'@'127.0.0.1'; FLUSH PRIVILEGES;
场景3：临时授权
如果有临时的权限需求，比如开发人员需要临时排查数据问题，授予权限时需要设置过期时间，到期后自动回收权限。MySQL 8.0及以上版本支持设置权限过期时间。
临时授权的示例代码如下：
-- 创建临时用户，权限有效期为7天 CREATE USER 'temp_user'@'192.168.0.%' IDENTIFIED BY 'your_password_here' PASSWORD EXPIRE INTERVAL 7 DAY; -- 授予临时查询权限 GRANT SELECT ON test_db.* TO 'temp_user'@'192.168.0.%'; FLUSH PRIVILEGES;
权限回收与调整
当业务角色变更或者用户不再需要时，及时回收对应的权限，避免权限残留。回收权限使用REVOKE语句，回收后同样需要执行FLUSH PRIVILEGES生效。
回收权限的示例代码如下：
-- 回收write_user用户对test_db.order表的UPDATE权限 REVOKE UPDATE ON test_db.order FROM 'write_user'@'192.168.0.%'; -- 删除闲置用户 DROP USER 'temp_user'@'192.168.0.%'; FLUSH PRIVILEGES;
遵循最小权限原则设计MySQL权限体系，需要结合业务实际需求逐步细化，同时建立定期的权限审计机制，才能长期保障数据库的安全稳定运行。