在mysql数据库的使用场景中，触发器作为自动执行的逻辑单元，其创建和修改权限如果过度开放，可能会导致非预期的数据操作，因此合理限制用户的触发器相关权限十分必要。本文将从权限分配、权限撤销两个维度，讲解mysql中TRIGGER权限的管理方法。
TRIGGER权限的作用范围
mysql中的TRIGGER权限属于数据库级别的权限，拥有该权限的用户可以在指定数据库中创建、修改、删除触发器。需要注意的是，TRIGGER权限和表的INSERT、UPDATE、DELETE权限是独立的，即使没有表的写权限，只要有TRIGGER权限依然可以创建关联到该表的触发器，因此权限管控需要更谨慎。
限制用户触发器创建权限的方法
限制用户触发器创建权限的核心思路是，在给用户分配权限时，不授予TRIGGER权限，或者仅授予指定数据库的TRIGGER权限，避免全局开放。
1. 创建用户时不授予TRIGGER权限
如果新建用户不需要触发器操作权限，在创建用户并分配权限时，仅授予其他必要权限即可，示例如下：
-- 创建用户test_user，密码为test_pass CREATE USER 'test_user'@'localhost' IDENTIFIED BY 'test_pass'; -- 仅授予test_db数据库的SELECT和INSERT权限，不授予TRIGGER权限 GRANT SELECT, INSERT ON test_db.* TO 'test_user'@'localhost'; -- 刷新权限使配置生效 FLUSH PRIVILEGES;
2. 仅授予指定数据库的TRIGGER权限
如果用户仅需要在某个特定数据库中操作触发器，可以单独授予该数据库的TRIGGER权限，避免权限扩散：
-- 授予test_user在test_db数据库上的TRIGGER权限 GRANT TRIGGER ON test_db.* TO 'test_user'@'localhost'; FLUSH PRIVILEGES;
3. 查看用户当前权限
可以通过SHOW GRANTS语句确认用户的权限配置，避免误授予TRIGGER权限：
-- 查看test_user的所有权限 SHOW GRANTS FOR 'test_user'@'localhost';
撤销用户已有的TRIGGER权限
如果用户已经拥有了TRIGGER权限，需要撤销时可以使用REVOKE语句，操作分为撤销全局权限和撤销指定数据库权限两种场景。
1. 撤销指定数据库的TRIGGER权限
如果用户仅在某一个数据库上有TRIGGER权限，撤销时指定对应的数据库即可：
-- 撤销test_user在test_db数据库上的TRIGGER权限 REVOKE TRIGGER ON test_db.* FROM 'test_user'@'localhost'; FLUSH PRIVILEGES;
2. 撤销全局TRIGGER权限
如果用户拥有全局的TRIGGER权限，需要撤销所有数据库的该权限：
-- 撤销test_user的全局TRIGGER权限 REVOKE TRIGGER ON *.* FROM 'test_user'@'localhost'; FLUSH PRIVILEGES;
权限管理的注意事项
- 执行权限修改操作后，必须执行
FLUSH PRIVILEGES语句，否则权限变更不会立即生效。 - TRIGGER权限是数据库级权限，无法通过表级权限控制，因此分配时需要注意作用范围。
- 如果用户同时拥有SUPER权限，即使没有TRIGGER权限，也可能通过其他方式操作触发器，因此管控时需要同时检查关联权限。
- 撤销TRIGGER权限后，用户之前创建的触发器不会被删除，只是无法再创建、修改、删除新的触发器。
常见问题说明
很多用户会遇到撤销权限后依然可以操作触发器的情况，通常是以下两个原因导致：一是没有执行FLUSH PRIVILEGES刷新权限；二是用户通过其他拥有TRIGGER权限的角色继承了该权限，此时需要先撤销角色的对应权限，再重新检查用户权限。
另外，在mysql 8.0及以上版本中，权限管理逻辑和之前版本基本一致，但创建用户时默认的密码策略更严格，分配权限时需要注意密码复杂度要求，避免创建用户失败。