创建MySQL触发器需TRIGGER数据库级权限及关联表的SELECT/INSERT/UPDATE/DELETE权限，TRIGGER不可按表授予，且需注意函数EXECUTE、跨库操作、binlog配置等隐式权限要求。
MySQL 触发器需要哪些权限？
创建触发器必须拥有 TRIGGER 权限，且对关联的表要有 SELECT、INSERT、UPDATE 或 DELETE 权限（取决于触发器中执行的操作）。注意：TRIGGER 是数据库级权限，不能按表授予，必须用 ON database_name.* 语法指定作用域。
常见错误现象：ERROR 1227 (42000): Access denied; you need (at least one of) the SUPER or TRIGGER privilege(s) for this operation——说明当前用户缺少 TRIGGER 权限，或 MySQL 版本低于 5.7.2 且未启用 log_bin_trust_function_creators（旧版主从场景下还可能涉及）。
- 创建触发器前先检查：
SHOW GRANTS FOR 'user'@'host'; - 授予权限示例：
GRANT TRIGGER ON mydb.* TO 'dev'@'%'; - 若触发器内含查询操作，还需确保该用户对目标表有对应 DML 权限，例如：
GRANT SELECT, INSERT ON mydb.log_table TO 'dev'@'%';
为什么不能只给表级 TRIGGER 权限？
MySQL 的 TRIGGER 权限设计是数据库粒度的，不是表粒度。这是为了防止通过触发器绕过行级或表级访问控制——比如在用户无权读某张表的情况下，通过另一个有权限的表上的触发器偷偷写入/读取敏感数据。
这意味着：即使你只想让某用户管理 orders 表的触发器，也必须授予其整个库的 TRIGGER 权限。实际中建议隔离用途库，例如专设 triggers_db 库存放所有触发逻辑相关对象，再限制该库仅被可信角色访问。
- 不要用
GRANT TRIGGER ON mydb.orders TO ...—— 语法错误，会报ERROR 1064 - 避免给生产账号全局
TRIGGER权限（如ON *.*），尤其在多租户或共享实例环境中 - MySQL 8.0+ 支持角色（ROLE），可用
CREATE ROLE trigger_admin; GRANT TRIGGER ON app_db.* TO trigger_admin;实现权限复用
自动化权限分配时容易忽略的点
自动化脚本（如 Ansible、SQL 初始化脚本）批量授权时，常漏掉触发器依赖的隐式权限。例如一个 BEFORE INSERT 触发器里调用了自定义函数 gen_order_no()，那用户不仅需要 TRIGGER，还得有对该函数的 EXECUTE 权限；如果触发器中用到了 INSERT INTO audit_log，则还必须显式授予 INSERT 权限给 audit_log 表。
- 检查触发器体：
SHOW CREATE TRIGGER trigger_name;，逐行识别涉及的对象和操作类型 - 函数调用需额外
GRANT EXECUTE ON FUNCTION mydb.gen_order_no TO 'user'@'%'; - 跨库写入（如
INSERT INTO sys.audit_log）需单独授INSERT权限：GRANT INSERT ON sys.audit_log TO 'user'@'%'; - MySQL 8.0.16+ 支持
DEFINER子句，但若用DEFINER='root'@'localhost'，则执行时以 root 权限运行，此时普通用户无需对应 DML 权限——但代价是安全模型变复杂，审计困难
TRIGGER 权限与 binlog / GTID 兼容性问题
在开启 binlog 的 MySQL 实例（尤其是主从架构或使用 GTID）中，触发器行为受 binlog_format 和 log_bin_trust_function_creators 影响。虽然这不是权限本身，但配置不当会导致触发器创建失败或复制中断。
典型表现：触发器能建成功，但插入数据时不生效；或者从库报错 Could not execute Write_rows event on table...。根本原因常是触发器被当作“不确定函数”拒绝写入 binlog。
- 确认
binlog_format为ROW（推荐），而非MIXED或STATEMENT - 若用
STATEMENT，需设置log_bin_trust_function_creators = ON（不推荐生产环境开启） - MySQL 5.7.6+ 默认要求触发器定义者具有
SUPER或SYSTEM_VARIABLES_ADMIN才能创建非确定性触发器——这时光有TRIGGER不够 - 使用
DEFINER时，定义者账号必须在所有节点上存在且权限一致，否则 GTID 复制会失败
触发器权限看似简单，真正麻烦的是它把多个权限层（库级、表级、函数级、系统变量级）耦合在一起，而自动化部署往往只扫了表面。上线前务必用真实用户身份执行一遍完整业务流，别只测 CREATE TRIGGER 语句是否通过。
