最稳妥方式是CREATE USER + GRANT SELECT，避免误授写权限；需注意host匹配、反引号包裹库名、FLUSH PRIVILEGES（低版本必需）；MySQL原生不支持权限过期，需外部机制管控；performance_schema需单独授权且存在敏感信息泄露风险。
怎么快速建一个只读测试用户
直接用 CREATE USER + GRANT SELECT 最稳妥，避免误授写权限。测试库通常只需要查数据、验证逻辑，给 INSERT 或 DROP 就是埋雷。
-
CREATE USER 'test_user'@'%' IDENTIFIED BY 'temp_pass_2024';—— 注意别漏掉@'%'或对应测试客户端 IP，否则连不上 -
GRANT SELECT ON `test_db`.* TO 'test_user'@'%';—— 库名必须用反引号包裹，尤其含短横线或数字开头时（如test-v1） - 执行完一定跑
FLUSH PRIVILEGES;，否则权限不生效（MySQL 8.0+ 在多数情况下可省略，但低版本和某些部署环境仍依赖它）
临时权限要设有效期吗
MySQL 原生不支持「过期时间」字段，所谓「临时」得靠人盯或外部机制兜底。硬编码在脚本里自动删用户风险高，更推荐用监控+人工复核流程。
- 不要依赖注释或文档记“三天后删”，90% 会忘 —— 真要自动清理，得配外部定时任务调
DROP USER 'test_user'@'%'; - 如果用 MySQL 8.0.14+，可结合
SET PASSWORD ... PASSWORD EXPIRE强制首次登录改密，但不等于禁用账号，仅防密码长期有效 - 测试环境若走跳板机或代理层（如 ProxySQL），可在那层做连接生命周期控制，比 DB 层更可控
为什么 GRANT 后还是连不上
常见不是权限没给，而是网络、认证插件或 host 匹配失败。先看错误信息再动权限。
- 报
Access denied for user 'test_user'@'10.0.1.5'？说明用户是按@'localhost'创建的，但客户端从内网 IP 连，得显式创建'test_user'@'10.0.1.%'或通配'test_user'@'%' - MySQL 8.0 默认用
caching_sha2_password插件，老客户端（如某些 Python MySQLdb）不兼容，建用户时加IDENTIFIED WITH mysql_native_password -
SELECT user, host FROM mysql.user;必须看到对应行，且host列值与实际连接来源完全匹配（注意%不匹配localhost）
测试用户能访问 performance_schema 吗
不能，默认关闭。哪怕你 GRANT SELECT ON *.*，performance_schema 和 information_schema 也不在范围内 —— 它们是只读元数据库，权限模型特殊。
- 真要查慢查询或锁状态，得单独授权：
GRANT SELECT ON performance_schema.* TO 'test_user'@'%'; - 但注意：开放
performance_schema可能暴露表结构、SQL 文本甚至部分参数，测试环境若含敏感字段，需评估泄露风险 -
information_schema大部分表默认对所有用户可见，但像PROCESSLIST需PROCESS权限，不能通过普通GRANT下放
权限这事，越简单越可靠。一个只读用户、一个明确范围、一条可审计的创建命令，比一堆临时开关和事后补救强得多。真正麻烦的从来不是建用户，而是谁在什么时候删了它、有没有人知道它还在跑。
