在mysql数据库的使用场景中，UDF自定义函数可以帮助用户扩展数据库的内置功能，满足个性化的业务计算需求，而权限管控是避免UDF被滥用、保障数据库安全的核心手段，其中CREATE ROUTINE权限和UDF调用权限的管理尤为重要。
UDF自定义函数与CREATE ROUTINE权限基础
UDF全称是用户自定义函数，是用户基于mysql提供的接口编写的动态库函数，可以实现内置函数无法覆盖的业务逻辑。而CREATE ROUTINE权限是mysql中用于管控存储过程和函数创建操作的权限，该权限的持有者可以在指定数据库中创建新的存储程序，包括UDF自定义函数。
需要注意的是，CREATE ROUTINE权限仅控制函数的创建权限，不直接控制函数的调用权限，调用权限需要通过其他权限维度单独配置。
CREATE ROUTINE权限的管理方法
权限授予操作
如果需要让某个用户拥有创建UDF自定义函数的权限，可以使用GRANT语句分配CREATE ROUTINE权限，语法示例如下：
-- 授予用户test_user在test_db数据库下的CREATE ROUTINE权限 GRANT CREATE ROUTINE ON test_db.* TO 'test_user'@'localhost'; -- 刷新权限使配置生效 FLUSH PRIVILEGES;
权限回收操作
当用户不再需要创建UDF的权限时，可以通过REVOKE语句回收对应的CREATE ROUTINE权限，示例如下：
-- 回收用户test_user在test_db数据库下的CREATE ROUTINE权限 REVOKE CREATE ROUTINE ON test_db.* FROM 'test_user'@'localhost'; -- 刷新权限使配置生效 FLUSH PRIVILEGES;
权限查看操作
可以通过查询mysql系统库的用户权限表，确认用户是否持有CREATE ROUTINE权限，示例如下：
-- 查看test_user的CREATE ROUTINE权限情况 SELECT user, host, Create_routine_priv FROM mysql.user WHERE user = 'test_user' AND host = 'localhost';
控制用户对UDF自定义函数的调用权限
UDF自定义函数的调用权限由函数的定义者和权限配置共同决定，主要有以下几种管控方式：
通过函数定义时的权限配置控制
在创建UDF自定义函数时，可以通过SQL SECURITY属性指定函数的执行权限上下文，该属性有两个可选值：
- DEFINER：函数执行时使用函数定义者的权限，调用者只需要有函数的执行权限即可，不需要持有函数内部操作对应的权限。
- INVOKER：函数执行时使用调用者的权限，调用者需要同时拥有函数的执行权限和函数内部操作对应的权限。
创建函数时指定SQL SECURITY的示例如下：
-- 创建使用INVOKER权限上下文的UDF函数
CREATE FUNCTION test_db.calc_sum(a INT, b INT)
RETURNS INT
SQL SECURITY INVOKER
BEGIN
RETURN a + b;
END;
通过EXECUTE权限控制调用
mysql中函数的调用需要用户持有对应函数的EXECUTE权限，即使函数设置为SQL SECURITY DEFINER，调用者也需要有EXECUTE权限才能执行函数。授予EXECUTE权限的示例如下：
-- 授予test_user调用test_db库下所有函数的权限 GRANT EXECUTE ON test_db.* TO 'test_user'@'localhost'; FLUSH PRIVILEGES;
通过库表权限间接控制
如果UDF函数内部涉及对特定表的数据操作，即使函数设置为SQL SECURITY INVOKER，只要调用者没有对应表的操作权限，也无法正常执行函数，这可以作为调用权限的额外管控层。
常见权限管理误区与解决
| 常见误区 | 问题表现 | 解决方法 |
|---|---|---|
| 认为授予CREATE ROUTINE权限就可以调用UDF | 用户创建了UDF但是调用时提示权限不足 | 额外授予用户对应函数的EXECUTE权限 |
| 函数设置为SQL SECURITY DEFINER就不需要管控调用者权限 | 任意用户都可以调用函数，存在安全风险 | 结合EXECUTE权限限制可调用函数的用户范围 |
| 回收CREATE ROUTINE权限后用户还能创建函数 | 权限回收后用户依然可以创建UDF | 执行FLUSH PRIVILEGES刷新权限，确认没有授予全局CREATE ROUTINE权限 |
权限配置最佳实践
在实际的mysql运维中，建议遵循最小权限原则配置相关权限：
- 仅给确实需要创建函数的用户授予CREATE ROUTINE权限，且尽量限制到指定数据库，不要授予全局权限。
- UDF函数尽量使用SQL SECURITY INVOKER属性，避免函数执行时使用过高权限导致安全风险。
- 定期审计用户的权限配置，及时回收不再需要的CREATE ROUTINE和EXECUTE权限。
- 对于核心业务的UDF函数，单独配置EXECUTE权限，不要批量授予所有函数的调用权限。
注意：mysql的UDF自定义函数还涉及动态库文件的存放路径和加载权限，需要同时确保操作系统层面和数据库层面的权限都配置正确，避免出现函数无法加载的问题。
通过以上方法，就可以实现对mysql中用户UDF自定义函数调用权限和CREATE ROUTINE权限的精准管控，既满足业务使用需求，也能有效降低数据库的安全风险。
mysqlUDF自定义函数CREATE_ROUTINE权限用户权限管理修改时间：2026-07-22 14:33:35