在MySQL数据库管理中,用户权限的管理是确保数据库安全性和合规性的关键环节，管理员需要频繁查看、授予或撤销用户权限，以控制用户对数据库对象的访问范围，以下是关于MySQL查看用户权限命令的详细说明，包括常用命令、权限级别、以及实际应用场景。
要查看MySQL用户的权限,最常用的命令是SHOW GRANTS，该命令可以显示指定用户的所有权限信息，包括全局权限、数据库权限、表权限和列权限等，基本语法为SHOW GRANTS FOR 'username'@'host';，其中username是用户名，host是用户允许登录的主机地址，要查看用户testuser从localhost登录时的权限，可以执行SHOW GRANTS FOR 'testuser'@'localhost';，如果省略FOR子句，则会显示当前登录用户的权限，当前用户为root时，执行SHOW GRANTS;将显示root用户的所有权限。
除了SHOW GRANTS命令，管理员还可以通过查询mysql系统数据库中的user、db、tables_priv、columns_priv和procs_priv等表来获取更详细的权限信息，这些表分别存储了不同级别的权限数据：
user表：存储全局权限，适用于所有数据库和表。SELECT、INSERT、UPDATE等全局权限。db表：存储数据库级别的权限，仅适用于特定数据库，用户对testdb数据库的CREATE、DROP权限。tables_priv表：存储表级别的权限，适用于特定数据库中的表，用户对testdb.users表的DELETE权限。columns_priv表：存储列级别的权限，适用于特定表中的列，用户对testdb.users表的email列的SELECT权限。procs_priv表：存储存储过程和函数的权限，适用于特定的存储过程或函数。
通过查询这些表,管理员可以更精细地分析用户的权限分配情况，要查看用户testuser的全局权限，可以执行SELECT * FROM mysql.user WHERE User = 'testuser';；要查看其数据库级别的权限，可以执行SELECT * FROM mysql.db WHERE User = 'testuser' AND Db = 'testdb';。
MySQL的权限体系分为多个层级,从高到低依次为全局级、数据库级、表级、列级和存储过程级，全局权限（如SUPER、FILE）适用于整个MySQL服务器；数据库权限（如CREATE、ALTER）适用于特定数据库；表权限（如SELECT、INSERT）适用于特定表；列权限仅适用于特定列；存储过程权限（如EXECUTE）适用于特定的存储过程或函数，了解这些层级有助于管理员更精确地控制用户权限。
在实际操作中,管理员可能需要定期审计用户权限，以确保权限分配符合最小权限原则，可以通过以下步骤批量查看所有用户的权限：
- 首先获取所有用户名和主机信息：
SELECT User, Host FROM mysql.user;。 - 然后遍历每个用户,执行
SHOW GRANTS FOR 'username'@'host';命令。 - 将结果导出到文件或表格中进行分析,使用
mysql -u root -p -e "SHOW GRANTS FOR 'testuser'@'localhost';" > grants_output.txt命令将结果导出到文本文件。
MySQL还提供了SHOW PRIVILEGES命令，该命令用于显示MySQL服务器支持的所有权限类型及其描述，执行SHOW PRIVILEGES;将列出SELECT、INSERT、UPDATE等所有权限，并说明每个权限的作用，这对于管理员了解MySQL的权限系统非常有帮助。
以下是一个示例表格,展示了常见的MySQL权限类型及其适用范围：
| 权限类型 | 适用范围 | 描述 |
|---|---|---|
| SELECT | 全局、数据库、表 | 允许用户读取数据 |
| INSERT | 全局、数据库、表 | 允许用户插入数据 |
| UPDATE | 全局、数据库、表 | 允许用户更新数据 |
| DELETE | 全局、数据库、表 | 允许用户删除数据 |
| CREATE | 全局、数据库、表 | 允许用户创建数据库或表 |
| DROP | 全局、数据库、表 | 允许用户删除数据库或表 |
| GRANT OPTION | 全局、数据库、表 | 允许用户授予或撤销权限 |
| ALTER | 全局、数据库、表 | 允许用户修改表结构 |
| INDEX | 全局、数据库、表 | 允许用户创建或删除索引 |
| EXECUTE | 数据库、存储过程 | 允许用户执行存储过程 |
需要注意的是,MySQL的权限验证是基于用户名和主机名的组合的，用户testuser从localhost登录和从168.1.100登录是两个不同的用户，权限可能不同，在查看权限时，必须确保用户名和主机名完全匹配。
从MySQL 8.0版本开始，权限系统引入了角色（Role）的概念，管理员可以通过角色来批量管理权限，可以创建一个readonly角色，授予SELECT权限，然后将多个用户分配给该角色，查看角色的权限可以使用SHOW GRANTS FOR 'rolename'@'host';命令，而查看用户的角色可以使用SHOW ROLE GRANTS FOR 'username'@'host';命令。
在排查权限问题时,管理员还可以使用mysqlaccess工具（虽然该工具已逐渐被弃用，但在旧版本中仍有使用）或编写脚本来分析权限分配情况，可以通过查询information_schema数据库中的SCHEMA_PRIVILEGES、TABLE_PRIVILEGES和COLUMN_PRIVILEGES表来获取更详细的权限信息。
MySQL查看用户权限的主要命令是SHOW GRANTS，通过结合查询系统数据库和SHOW PRIVILEGES命令，管理员可以全面了解用户的权限分配情况，在实际操作中，建议定期审计用户权限，确保权限分配合理且安全，避免权限过度导致的安全风险。
相关问答FAQs：
-
问：如何查看MySQL中所有用户的权限列表？
答：可以通过以下步骤查看所有用户的权限列表：首先执行SELECT User, Host FROM mysql.user;获取所有用户名和主机信息；然后遍历每个用户，执行SHOW GRANTS FOR 'username'@'host';命令；最后将结果导出到文件或表格中进行分析，使用脚本循环执行SHOW GRANTS命令并收集结果，或使用mysql -e命令批量导出。 -
*问：MySQL中
SHOW GRANTS和`SELECT FROM mysql.user有什么区别？** 答：SHOW GRANTS命令用于显示用户的所有权限信息，包括通过角色继承的权限，并以GRANT语句的形式展示，便于直接复制使用；而SELECT FROM mysql.user仅显示用户的全局权限，且以原始数据的形式展示，不包含数据库、表或列级别的权限。SHOW GRANTS更适合查看用户的完整权限，而SELECT FROM mysql.user`更适合查看全局权限的详细配置。
