只有拥有TRIGGER权限且对关联表具备相应DML权限的用户才能创建或修改触发器；MySQL 8.0+需显式授权，禁用事务/DDL语句；PostgreSQL则依赖表级TRIGGER权限与SECURITY DEFINER函数。
谁能在 MySQL 里创建或修改触发器
只有拥有 TRIGGER 权限的用户，才能在对应数据库上创建、删除、查看触发器；但仅此还不够——CREATE TRIGGER 还隐式要求该用户对触发器关联的表有 INSERT、UPDATE 或 DELETE 权限（取决于触发时机），否则建表时不会报错，但执行 CREATE TRIGGER 会直接失败。
常见错误现象：ERROR 1227 (42000): Access denied; you need (at least one of) the SUPER or SYSTEM_VARIABLES_ADMIN privilege(s) for this operation —— 这通常不是权限漏配，而是 MySQL 8.0.16+ 默认启用了 sql_log_bin=OFF 或用户被限制在只读模式下操作，而非缺少 TRIGGER 权限本身。
- 检查权限用：
SHOW GRANTS FOR 'user'@'host'; - 授予权限必须显式指定数据库名：
GRANT TRIGGER ON `mydb`.* TO 'dev'@'%';（不能写成GRANT TRIGGER ON *.*给普通用户） - MySQL 8.0+ 中，
TRIGGER权限不再包含在ALL PRIVILEGES里，必须单独授予
触发器定义体里不能写哪些语句
MySQL 触发器体中禁止执行显式事务控制、DDL 和部分系统管理语句——这不是权限问题，是语法硬限制。哪怕你有 root 权限，只要触发器里写了这些，CREATE TRIGGER 就会直接报错。
典型错误信息：ERROR 1442 (HY000): Can't update table 't1' in stored function/trigger because it is already used by statement which invoked this stored function/trigger，常出现在触发器里又去更新同一张表，或调用含更新逻辑的存储过程。
- 禁用语句包括：
START TRANSACTION、COMMIT、ROLLBACK、CREATE TABLE、DROP PROCEDURE、ALTER USER -
SELECT ... INTO可用，但INSERT INTO ... SELECT若目标表和触发源表相同，会触发“表正在被使用”错误 - 调用存储函数可以，但该函数内部也不能含禁止语句；函数若含
SELECT必须声明为READS SQL DATA
如何防止开发人员绕过权限直接改触发器
MySQL 没有“只读触发器”或“防编辑锁”机制，ALTER TRIGGER 和 DROP TRIGGER 的权限粒度与 CREATE TRIGGER 完全一致，都依赖 TRIGGER 权限。真正能落地的管控，靠的是流程和元数据隔离。
关键点在于：触发器属于数据库对象，其定义存在 information_schema.TRIGGERS 表里，但普通用户查这个视图默认看不到其他用户的触发器——除非你给了 SELECT 权限到 information_schema，这反而更危险。
- 生产库账号一律不授
TRIGGER权限，所有触发器由 DBA 账号统一维护 - 把触发器脚本纳入版本库，上线走 SQL 变更平台，平台校验语句是否含
CREATE TRIGGER并拦截非白名单账号提交 - 定期审计：
SELECT TRIGGER_SCHEMA, TRIGGER_NAME, EVENT_MANIPULATION, ACTION_STATEMENT FROM information_schema.TRIGGERS WHERE TRIGGER_SCHEMA NOT IN ('mysql', 'performance_schema');
PostgreSQL 中触发器权限逻辑完全不同
PostgreSQL 不需要单独的“触发器权限”，只要用户对表有 TRIGGER 权限（本质是表级 ACL 条目），就能在其上建触发器；而这个权限默认只授予表所有者，且不能跨数据库授予——这点和 MySQL 的 TRIGGER ON db.* 粒度差异极大。
容易踩的坑是：开发用 psql 连上去，看到自己能 \dt 查到表，就以为能建触发器，结果报 ERROR: permission denied for relation mytable。其实是因为表属主不是当前用户，也没显式执行过 GRANT TRIGGER ON mytable TO dev;。
- 授权命令是：
GRANT TRIGGER ON TABLE mytable TO dev;（注意不是ON DATABASE） - 触发器函数必须用
SECURITY DEFINER创建，否则触发时以调用者身份执行，权限仍受限 - 若触发器函数里要写其他表，那些表也得给该函数的属主授相应权限，而不是给调用者
复杂点在于：权限模型跨数据库不一致，MySQL 看全局权限位，PostgreSQL 看对象 ACL + 函数安全属性；而最常被忽略的，是触发器所依赖的函数或表权限，在创建时看似通过，实际运行才暴露缺失。
