MySQL存储过程的权限控制逻辑和普通SQL语句存在差异，默认执行时会使用定义存储过程的用户权限，而不是当前调用用户的权限，这在长连接复用、多用户共享连接的场景下很容易引发权限问题。通过DEFINER和INVOKER两个属性，可以精准控制存储过程执行时的权限校验主体，适配不同的业务需求。
DEFINER与INVOKER的核心区别
DEFINER用于指定存储过程的定义者，默认情况下存储过程执行时会使用DEFINER对应的用户权限进行校验，和当前调用存储过程的用户权限无关。INVOKER则是让存储过程执行时使用当前调用用户的权限进行校验，权限范围受限于调用者本身的权限。
两者的核心差异可以通过下表直观对比：
| 属性 | 权限校验主体 | 适用场景 |
|---|---|---|
| DEFINER | 存储过程定义者 | 需要固定权限执行、避免调用者权限不足的通用逻辑 |
| INVOKER | 当前调用用户 | 需要严格限制调用者权限、避免权限越界的场景 |
DEFINER的配置与使用
在创建存储过程时，可以通过DEFINER = '用户名'@'主机名'的语法指定定义者，如果不手动指定，默认使用当前创建存储过程的用户作为DEFINER。
创建带DEFINER的存储过程示例
假设我们需要创建一个查询用户表的存储过程，定义者为拥有全表查询权限的用户admin：
-- 创建存储过程，指定DEFINER为admin@localhost
DELIMITER //
CREATE DEFINER = 'admin'@'localhost' PROCEDURE query_user_data()
BEGIN
-- 查询用户表数据
SELECT id, username FROM user_table LIMIT 10;
END //
DELIMITER ;
即使后续调用这个存储过程的用户只有查询部分字段的权限，只要admin用户拥有user_table的全表查询权限，存储过程就可以正常执行，这就是DEFINER的作用逻辑。
INVOKER的配置与使用
要让存储过程执行时使用调用者的权限，需要在创建存储过程时加上SQL SECURITY INVOKER的语法，默认是SQL SECURITY DEFINER。
创建带INVOKER的存储过程示例
同样以查询用户表的存储过程为例，设置使用调用者权限：
-- 创建存储过程，设置SQL SECURITY为INVOKER
DELIMITER //
CREATE PROCEDURE query_user_data_invoker() SQL SECURITY INVOKER
BEGIN
-- 查询用户表数据
SELECT id, username FROM user_table LIMIT 10;
END //
DELIMITER ;
此时如果调用这个存储过程的用户没有user_table的查询权限，执行存储过程时就会报权限不足的错误，权限校验完全基于调用者本身的权限。
长连接场景下的权限管理技巧
长连接通常会被多个用户或者多个业务模块复用，此时权限管理需要特别注意：
- 如果是通用工具类的存储过程，比如数据统计、日志写入等逻辑，建议使用DEFINER指定一个拥有对应权限的固定用户，避免长连接切换调用者后出现权限不足的问题。
- 如果是涉及敏感数据操作的存储过程，比如用户资金修改、权限变更等，建议使用INVOKER模式，严格限制只有拥有对应权限的用户才能调用，避免权限越界引发安全风险。
- 可以通过
SHOW CREATE PROCEDURE 存储过程名语句查看现有存储过程的DEFINER和SQL SECURITY属性，及时调整不符合需求的配置。
注意事项
DEFINER指定的用户必须真实存在，否则存储过程创建会失败。如果后续删除了DEFINER对应的用户，存储过程执行时也会报错。另外，修改存储过程的DEFINER需要拥有对应的权限，普通用户无法随意修改存储过程的定义者属性。
在长连接场景下，建议定期梳理存储过程的权限配置，避免因为用户权限变更、连接复用逻辑调整引发权限相关的问题，保障数据库操作的安全性和稳定性。