最可靠方式是查询系统表生成可重放GRANT语句；需排除authentication_string等敏感字段，注意用户/主机匹配、版本兼容性及依赖关系，避免直接导入权限表。
直接导出用户权限的 SQL 语句
MySQL 本身不提供“一键备份权限”的命令，但可以通过查询 mysql.user、mysql.db、mysql.tables_priv 等系统表，生成可重放的 GRANT 语句。最常用且可靠的方式是用 mysqldump 导出权限相关表：
mysqldump -u root -p --no-data mysql user db tables_priv columns_priv procs_priv proxies_priv > grant_tables.sql- 注意必须加
--no-data：只导结构和当前权限数据，避免误导用户表内容 - 导出后建议手动检查
grant_tables.sql中是否含DROP TABLE或CREATE TABLE—— 恢复时若直接执行可能清空原权限表，应删掉这些语句，只保留INSERT
用 mysqlpump 或 SELECT … INTO OUTFILE 生成 GRANT 语句
比起导表，更安全的做法是生成人类可读、可审计的 GRANT 语句。MySQL 8.0+ 推荐用 mysqlpump（支持 --include-databases=mysql 并过滤权限表），但兼容性不如手写 SQL。通用做法是运行以下查询：
SELECT CONCAT('SHOW GRANTS FOR \'', user, '\'@\'', host, '\';')
FROM mysql.user
WHERE user != '';
然后把结果中的每条 SHOW GRANTS 手动执行，或用脚本批量捕获输出。注意：
-
SHOW GRANTS不返回角色权限（MySQL 8.0+），需额外查mysql.role_edges - 若用户 host 是
'%'或含通配符，恢复时要确认目标环境是否允许该 host 匹配规则 - 某些权限（如
SYSTEM_VARIABLES_ADMIN）在低版本 MySQL 中不存在，跨版本恢复会报错
备份时忽略敏感字段（如 authentication_string）
mysql.user 表里的 authentication_string 字段存的是密码哈希值。导出时若未过滤，会导致备份文件暴露凭证哈希 —— 虽非明文，但仍属敏感信息。务必在导出前排除：
- 用
mysqldump时加--ignore-table=mysql.user，再单独处理权限逻辑 - 或用
SELECT user,host,Select_priv,Insert_priv,... FROM mysql.user显式列出权限列，跳过authentication_string和password_expired - 不要依赖
mysqldump --all-databases：它会导出完整mysql库，包括密码字段，风险高
权限备份与恢复的典型陷阱
权限不是独立实体，它依赖于数据库/表是否存在、用户是否已创建、甚至插件是否启用（如 caching_sha2_password）。常见翻车点：
- 先恢复权限再创建用户 → 报错
ERROR 1133 (HY000): Can't find any matching row in the user table - 恢复
GRANT时没加WITH GRANT OPTION→ 后续无法授权给他人 - 用
root@localhost备份，但在容器或远程环境里只有root@'%'→ 权限不生效 - MySQL 5.7 升级到 8.0 后，
mysql.user表结构变更（如plugin列含义不同），直接导入会失败
真正可靠的权限备份，从来不是“dump 整个 mysql 库”，而是明确知道哪些用户、哪些对象、哪些权限项需要保留，并用最小集语句重建。自动化脚本里最容易漏掉的是角色继承链和动态权限开关状态。
