mysql grant命令严格按全局、数据库、表、列、存储过程层级授权，须显式指定主机名，执行后通常自动生效；常见错误为主机名不匹配、localhost与ip权限分离、密码策略不兼容；8.0+支持角色管理权限；生产环境应遵循最小权限原则，如web应用用select/insert/update/delete/execute，备份账号加lock tables/reload，监控账号仅process/replication client。
grant 命令的基本语法和权限粒度
MySQL 的 GRANT 不是“一键授权”，它严格区分权限层级：全局（*）、数据库（db_name.*）、表（db_name.table_name）、列（(col1,col2)）甚至存储过程。用错层级会导致权限不生效或过度开放。
最常用的是数据库级授权，例如给用户 'appuser'@'192.168.1.%' 对 myapp_db 的全部操作权限：
GRANT SELECT, INSERT, UPDATE, DELETE ON myapp_db.* TO 'appuser'@'192.168.1.%';
- 必须显式指定主机名（不能只写
'appuser'），否则默认为'appuser'@'localhost'，远程连不上 - 权限列表不支持通配符如
CRUD，必须写全或用ALL PRIVILEGES（慎用） - 执行后需运行
FLUSH PRIVILEGES;才能立即生效（仅在直接改系统表后才必需；正常GRANT会自动刷新）
常见错误：Access denied 但账号明明存在
典型现象是创建了用户、执行了 GRANT，应用仍报 Access denied for user 'xxx'@'yyy'。根本原因往往是主机名匹配失败：
