MySQL -e 创建用户权限不生效主因是引号混用导致SQL被shell截断，应统一用双引号包裹-e参数、内部SQL用单引号；5.7+版本GRANT后无需FLUSH PRIVILEGES；密码须通过600权限的~/.my.cnf配置文件安全传入。
mysql -e 创建用户时权限不生效？检查 SQL 语句结尾和引号嵌套
直接用 mysql -e 执行创建用户的 SQL，最容易出问题的是单引号、双引号混用导致语句被 shell 截断或转义。比如想执行：CREATE USER 'foo'@'%' IDENTIFIED BY 'pass123';，如果写成 mysql -e "CREATE USER 'foo'@'%' IDENTIFIED BY 'pass123';"，shell 会把单引号当字面量处理，但中间的 @ 和 ; 可能被误解析。
- 统一用双引号包裹整个
-e参数，内部 SQL 用单引号（MySQL 标准），但需对内部单引号做转义：mysql -e "CREATE USER 'foo'@'%' IDENTIFIED BY 'pass123';"✅（注意：这里实际不需要转义，因为双引号内单引号不触发 shell 解析 —— 但前提是没出现变量插值） - 如果脚本里用了变量（如
$USER,$PASS），必须用双引号 + 单引号组合，并确保变量内容不含 SQL 注入风险：mysql -e "CREATE USER '${USER}'@'%' IDENTIFIED BY '${PASS}';" - 更稳妥的做法是把 SQL 写进 here-document 或临时文件，避开引号博弈
GRANT 后必须 FLUSH PRIVILEGES 吗？5.7+ 通常不用
老教程总说 GRANT 之后要跟 FLUSH PRIVILEGES;，其实从 MySQL 5.7 开始，只要用标准 GRANT（不是直接改 mysql.user 表），权限会自动加载。手动 FLUSH 不但多余，还可能掩盖真正的问题 —— 比如你 GRANT 的 host 不匹配，或者用户根本没创建成功。
- 验证用户是否真建好了：运行
mysql -Nse "SELECT User,Host FROM mysql.user WHERE User='foo';" - 验证权限是否已分配：用
SHOW GRANTS FOR 'foo'@'%';（注意 host 必须完全一致） - 只在你手动 UPDATE/INSERT
mysql.*系统表后才需要FLUSH PRIVILEGES;
shell 脚本里怎么安全传密码？别硬编码，优先用配置文件
把密码写死在脚本里或命令行参数中，会出现在 ps aux 或 bash history 里，极不安全。MySQL 支持 ~/.my.cnf 配置文件，且要求权限为 600，这是最常用也最靠谱的方式。
- 生成配置文件：
cat > ~/.my.cnf << 'EOF' [client] user = root password = your_root_pass host = localhost EOF chmod 600 ~/.my.cnf
- 后续所有
mysql命令都不再需要-u -p：mysql -e "CREATE USER 'app'@'10.0.2.%' IDENTIFIED BY 'xYz9!';" - 如果必须临时指定用户（比如非 root），可用
--defaults-file=指向一个临时配置文件，避免污染全局.my.cnf
脚本执行失败但没报错？检查 mysql 命令的退出码和错误重定向
很多 shell 脚本跑完没提示，但用户没创建成功，是因为默认情况下 mysql 出错只输出到 stderr，而脚本没捕获它。更麻烦的是，某些错误（比如语法错）会让 mysql 返回非零退出码，但如果你用 && 连接命令，后续步骤就直接跳过了。
- 始终检查退出码：
mysql -e "..." || { echo "mysql command failed"; exit 1; } - 把错误输出显式重定向出来便于调试：
mysql -e "..." 2>> /var/log/create_user.log - 加
-v（verbose）参数看实际执行的 SQL（仅限调试，上线关掉）：mysql -v -e "CREATE USER ..." - 注意：MySQL 8.0 默认认证插件是
caching_sha2_password，老客户端可能连不上；如果脚本用的是旧版 mysql 客户端，创建用户时显式指定插件更稳：CREATE USER 'u'@'%' IDENTIFIED WITH mysql_native_password BY 'p';
真正麻烦的不是写几行命令，而是每次换环境都要重新核对 MySQL 版本、客户端版本、默认认证插件、以及那个永远藏在 .my.cnf 权限里的坑。
