临时用户必须显式创建且权限最小化，禁用自动创建、通配符授权和WITH GRANT OPTION，通过密码过期、资源限制及定时清理实现可控时效。
临时用户必须用 CREATE USER 显式创建，不能靠 GRANT 自动补全
MySQL 8.0+ 默认关闭了 sql_mode 中的 NO_AUTO_CREATE_USER，但 GRANT 不再自动建用户。如果直接写 GRANT SELECT ON db.* TO 'tmpuser'@'localhost'，会报错：ERROR 1410 (42000): You are not allowed to create a user with GRANT。必须先创建用户，再赋权。
- 临时用户建议加前缀或后缀（如
tmp_report_202405），避免重名或误复用 - 主机名别用
%，优先指定具体 IP 或localhost，降低暴露面 - 密码必须符合当前
validate_password策略，否则CREATE USER直接失败
权限要精确到库表级，禁用 WITH GRANT OPTION
临时用户只应拿到完成任务所需的最小权限。比如导出报表只需 SELECT，不给 INSERT/UPDATE/DELETE；调试 SQL 可能需要 EXECUTE（对存储过程），但绝不该有 CREATE ROUTINE 或 ALTER 权限。
- 避免使用
GRANT ALL PRIVILEGES ON *.*—— 这是高危操作，且 MySQL 8.0+ 对SYSTEM_VARIABLES_ADMIN等动态权限也做了隔离 -
WITH GRANT OPTION会让用户能把权限转授他人，临时账号一律禁用 - 若需跨库访问，逐个
GRANT，不要用ON `db_%`.*这类模糊匹配（MySQL 不支持通配符库名授权）
设置自动过期用 password_expired 或 MAX_QUERIES_PER_HOUR 辅助管控
MySQL 本身不提供“临时用户到期自动删除”机制，但可通过组合策略实现软性时效控制：
Cn Password Generator
下载
安全的随机密码生成器。支持自定义长度、字符类型（大写/小写字母、数字、特殊符号），排除相似字符，批量生成。纯 Python 标准库，无需 API 密钥。
- 创建时设
PASSWORD EXPIRE：CREATE USER 'tmp_app'@'192.168.1.%' IDENTIFIED BY 'xYz123!' PASSWORD EXPIRE;
用户首次登录必须改密，适合一次性交付场景 - 用资源限制模拟生命周期：
CREATE USER 'tmp_api'@'%' IDENTIFIED BY 'aBc456!' WITH MAX_QUERIES_PER_HOUR 1000;
配合应用层监控，超量即失效 - 真正要清理，得靠定时脚本查
mysql.user表中User匹配tmp_%的记录，再DROP USER—— 注意 MySQL 8.0+ 必须带主机名，DROP USER 'tmp_test'会报错
删除临时用户前务必确认无活跃连接，否则会中断业务
DROP USER 是即时生效的，但不会杀掉已建立的连接。如果用户正在执行长查询或事务，连接仍存在，只是后续新请求会被拒绝。这容易造成应用报错（如 Access denied）却查不到原因。
- 先查活跃会话：
SELECT ID, USER, HOST, DB, COMMAND, TIME, STATE, INFO FROM information_schema.PROCESSLIST WHERE USER LIKE 'tmp%';
- 必要时手动
KILL：KILL 12345;
（ID 来自上一步） - 再执行
DROP USER 'tmp_user'@'host'—— 主机名必须完全一致，大小写敏感 - 注意：MySQL 8.0+ 删除用户后，其权限记录从
mysql.role_edges、mysql.default_roles等系统表一并清除，无需手动清理
临时用户的核心不是“快”，而是“可控”。权限粒度、主机范围、密码策略、连接清理，每个环节漏掉一个，都可能把“临时”变成隐患。
