MySQL列级权限不能精确控制只读某几列，GRANT语句不支持原表列级SELECT授权，仅INSERT/UPDATE可按列授权，真正可行方案是视图+权限组合。
MySQL 列级权限到底能不能精确控制？
不能直接授予「只读某几列」的权限——GRANT 语句不支持列级 SELECT 权限。MySQL 的列级权限仅限于 INSERT、UPDATE、REFERENCES 这三类操作，且必须显式列出列名。
常见误解是以为 GRANT SELECT (col_a, col_b) ON db.tbl TO 'u'@'h' 能限制用户只能查这两列，实际会报错：ERROR 1064 (42000): You have an error in your SQL syntax。MySQL 直到 8.0.21 才在 SELECT 上支持列级授权，但仅限于「视图列」或「生成列」场景，原表仍不支持。
-
INSERT和UPDATE可以按列授权，例如：GRANT INSERT (name, email) ON mydb.users TO 'app'@'10.0.1.%';
- 用户执行
INSERT INTO users (id, name, email) VALUES (1,'a','b')会失败，因为id列未被授权 - 但只要用户有表级
SELECT权限，就能查全表所有列——列级SELECT不生效
真正可行的列级数据隔离方案
绕过 MySQL 原生限制，得靠逻辑层或数据库对象封装。最稳定、生产常用的是视图 + 权限组合。
比如只想让客服账号看到用户表的 name、phone、status 三列，且不可见 password_hash 或 email：
CREATE VIEW users_public AS SELECT id, name, phone, status FROM users;
然后授权：
MySQL8 CRM Schema Design Expert
下载
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
GRANT SELECT ON mydb.users_public TO 'cs'@'10.0.1.%';
- 确保该用户对原表
users没有任何权限：REVOKE ALL PRIVILEGES ON mydb.users FROM 'cs'@'10.0.1.%';
- 若需更新，可加
INSTEAD OF触发器（MySQL 不支持，需用BEFORE UPDATE+ 检查字段），或改用存储过程封装写操作
注意：视图默认以定义者（DEFINER）权限执行。若 DEFINER = 'root'@'%'，而用户只有视图查询权，依然安全；但若设为 SQL SECURITY INVOKER，且用户意外获得底层表权限，就可能穿透。
列级权限配置中容易忽略的安全细节
即使用了视图或列授权，仍有几个关键点常被跳过：
- 用户账号必须绑定明确的
HOST，避免用'user'@'%'—— 通配符主机允许任意 IP 连接，一旦密码泄露，列级隔离形同虚设 -
SHOW COLUMNS FROM tbl和INFORMATION_SCHEMA.COLUMNS查询不受列权限限制。用户能发现所有列名，只是不能读取敏感列内容（前提是没给表级SELECT） - 使用
mysqldump备份时，若连接用户有表级权限，dump 会导出全部列——列权限不阻止 DDL/DML 工具行为 - MySQL 8.0+ 引入了动态权限（如
TABLE_ENCRYPTION_ADMIN），但和列权限无关；加密列（ENCRYPTED=YES）需配合密钥管理服务，不是权限开关
替代方案对比：行级 vs 列级 vs 应用层过滤
列级控制本质是「最小字段暴露」，但实际落地要考虑维护成本和攻击面：
-
行级策略（如 MySQL 8.0.22+ 的
ROW ACCESS POLICY）：适合多租户场景，但无法解决「同一行里隐藏部分字段」的问题 -
应用层字段裁剪：ORM 中统一拦截
SELECT *，强制白名单字段。风险在于漏写、直连 SQL 绕过、日志打印完整结果 - 代理层（如 ProxySQL、MaxScale）：可在 SQL 解析阶段重写语句，屏蔽敏感列。但增加架构复杂度，且无法防护客户端直连
列级安全真正的难点不在语法，而在权限生命周期管理——谁建的视图、谁改的 DEFINER、是否定期审计 INFORMATION_SCHEMA 访问日志。一个没回收的旧账号，可能让整套列隔离失效。
