GRANT和REVOKE是SQL中用于授予权限与回收权限的核心语句，分别控制用户对数据库对象的操作权限，需遵循最小权限原则并结合角色管理提升安全性。
SQL 中的 GRANT 和 REVOKE 是数据库权限管理的核心语句，用于授予或回收用户对数据库对象（如表、视图、存储过程等）的操作权限。正确使用它们，是保障数据安全与职责分离的关键。
GRANT：给用户分配具体权限
GRANT 语句将某类操作权限授予指定用户或角色。基本语法结构为：
GRANT 权限类型 ON 对象名 TO 用户名 [WITH GRANT OPTION];
- 常见权限类型包括：SELECT、INSERT、UPDATE、DELETE、ALTER、DROP、EXECUTE（针对存储过程）等
- 对象名可以是具体表（
mydb.users）、整个数据库（mydb.*）或所有数据库（*.*），取决于数据库系统支持 - WITH GRANT OPTION 允许被授权用户再把该权限转授他人（慎用，易造成权限扩散）
- 示例：
GRANT SELECT, INSERT ON sales.orders TO 'analyst'@'localhost';
REVOKE：及时收回不再需要的权限
REVOKE 用于撤销已授予的权限，语法与 GRANT 类似，但方向相反：
REVOKE 权限类型 ON 对象名 FROM 用户名;
- 可撤销单个权限、多个权限，或使用
ALL PRIVILEGES撤销所有普通权限（不包含授权权） - 撤销时无需指定是否带
WITH GRANT OPTION，系统自动处理授权链 - 注意：MySQL 中
REVOKE ALL不会撤销GRANT OPTION，需单独执行REVOKE GRANT OPTION - 示例：
REVOKE UPDATE ON hr.employees FROM 'hr_intern'@'%';
权限生效与验证要点
权限变更后，并非立即在所有连接中生效，需注意以下细节：
- MySQL 要求执行
FLUSH PRIVILEGES;（仅当直接修改 mysql 系统表时才需要；通过 GRANT/REVOKE 操作通常自动刷新） - 用户当前会话中的权限不会动态更新，新权限需重新登录或执行
mysql -u user -p连接才能生效 - 可用
SHOW GRANTS FOR 'user'@'host';查看某用户的全部显式授权 - 权限具有层级继承性：库级权限包含其下所有表，但表级权限不继承自库级；需明确作用范围避免遗漏或过度授权
最小权限原则与日常建议
权限控制不是“越多越好”，而是“够用即止”：
- 应用账号尽量只授予业务必需的权限（如 Web 后端只需 SELECT/INSERT/UPDATE，禁用 DROP 或 ALTER）
- 开发、测试、生产环境严格区分账号，禁止共用高权限账号
- 定期审计权限分配，用
SELECT user, host, Select_priv, Insert_priv, ... FROM mysql.user;辅助检查（MySQL） - 优先使用角色（Role）管理权限（MySQL 8.0+、PostgreSQL、SQL Server 均支持），便于批量授权与回收
