DEFINER是存储过程创建时固化执行身份的用户，决定运行时权限归属；若其账号不存在则报错1449，需ALTER PROCEDURE修复；推荐用专用低权账号并显式指定，避免依赖默认值。
DEFINER是谁？它直接决定存储过程能做什么
MySQL里，DEFINER不是可选配置，而是创建时就固化下来的执行身份。它决定了这个存储过程在运行时拥有谁的权限——不是调用者，而是定义者。比如你用root@localhost创建了一个过程，哪怕普通用户app_user调用它，内部所有SELECT、INSERT操作都以root身份执行。
常见错误现象：ERROR 1449 (HY000): The user specified as a definer ('xxx'@'%') does not exist，说明创建时写的DEFINER账号已被删，但过程还留着。此时不能直接调用，得先ALTER PROCEDURE ... DEFINER=...修复。
实操建议：
- 生产环境尽量避免用
root或高权限账号做DEFINER，应新建专用账号（如proc_executor@localhost），只授予过程实际需要的库表权限 - 创建时显式写明
DEFINER，别依赖默认值（MySQL 8.0+ 默认是当前用户，但低版本可能不同） - 用
SHOW CREATE PROCEDURE proc_name随时检查当前DEFINER值，别凭记忆判断
INVOKER模式怎么启用？其实它只是去掉DEFINER
MySQL没有叫“INVOKER模式”的开关，所谓INVOKER行为，就是创建时不写DEFINER子句，或显式设为DEFINER=CURRENT_USER。这时过程运行时的权限，完全取决于调用者本身拥有的权限。
使用场景：适合封装通用查询逻辑（比如按ID查订单详情），且你信任调用者已有对应表的SELECT权；不适合做跨权限操作（如让普通用户通过过程删日志表）。
性能 / 兼容性影响：和DEFINER相比，CURRENT_USER方式无额外权限校验开销，但每次调用都要实时检查调用者权限，权限变更后立即生效——这点反而更安全。
实操建议：
- 想实现INVOKER语义，就用
CREATE DEFINER=CURRENT_USER PROCEDURE ...，别省略DEFINER字段，否则MySQL 5.7可能自动补成DEFINER=definer@host，行为不可控 - 注意
CURRENT_USER返回的是连接认证用户，不是USER()返回的“带IP的完整标识”，二者在代理用户场景下可能不同 - 如果过程里用了动态SQL（
PREPARE+EXECUTE），即使DEFINER有效，动态部分仍按INVOKER规则检查权限——这是容易被忽略的边界
权限封装真能防越权？关键看SQL里有没有硬编码库名
很多人以为只要把SELECT * FROM sensitive_table包进存储过程，再限制调用权限，就能“封装权限”。但若过程体里直接写了具体库名（如myapp.users），那它就只对这个库生效；而如果用拼接表名（CONCAT('myapp_', db_suffix)）+EXECUTE，就可能绕过静态权限检查，引发越权。
常见错误现象：过程能正常创建、调用不报错，但返回空结果或权限拒绝——往往是因为过程里访问了调用者没权限的库，或DEFINER账号本身也没被授相应库权限。
实操建议：
- 过程内所有表引用必须显式带库名（如
myapp.orders），避免依赖USE上下文，否则迁移或跨库调用会出问题 - 给
DEFINER账号授权时，用GRANT SELECT ON myapp.orders TO 'proc_executor'@'localhost'这种精确到表的粒度，别直接GRANT ALL ON myapp.* - 测试阶段用低权限账号调用，观察是否真受限；别只用
root验证逻辑正确性
ALTER PROCEDURE改DEFINER要重启吗？不需要，但有坑
ALTER PROCEDURE可以直接改DEFINER，不用重启MySQL，也不影响已存在的调用会话。但它不会自动帮你补权限——新DEFINER账号如果没被授予过程里涉及的表权限，下次调用就会失败。
容易踩的坑：
- 改完
DEFINER后忘记GRANT，过程变成“能调不能跑” - 用
mysqldump --routines导出再导入时，DEFINER语句会被原样写出，若目标环境没有该用户，导入会失败或静默降级为CURRENT_USER（取决于log_bin_trust_function_creators等设置） - 复制环境中，从库执行
ALTER PROCEDURE可能因账号不存在而中断复制（尤其binlog_format=STATEMENT时）
真正复杂的地方在于：权限不是单点配置，它横跨账号定义、过程定义、表授权、甚至复制拓扑。一个DEFINER值改对了，不代表整个链路就通了。
