<p>PARTIAL REVOKES 是 MySQL 8.0.16 引入的叠加式限制机制，仅限于 GRANT OPTION、PROCESS 等全局权限，通过 REVOKE ON db.* 施加例外规则，需先启用 partial_revokes=ON。</p>
MySQL 8.0 的 PARTIAL REVOKES 是什么，能撤销哪些权限？
PARTIAL REVOKES 是 MySQL 8.0.16 引入的特性，用于在保留用户全局权限的前提下，**限制其对特定数据库或表的访问**。它不是传统意义上的“撤销”，而是“叠加式限制”：用户仍有 SELECT 全局权限，但可被明确禁止在 sys 或 mysql 库中执行 SELECT。
关键点：
- 仅适用于
GRANT OPTION、CREATE USER、PROCESS、RELOAD、SHOW DATABASES、SHUTDOWN、SUPER、USAGE等全局权限（不含对象级权限如SELECT ON db.*） - 必须先启用系统变量：
partial_revokes=ON（默认OFF，重启不生效，需写入配置文件或运行时设置） - 不支持撤销
ALL PRIVILEGES或已通过角色授予的权限
如何启用并验证 PARTIAL REVOKES 生效？
直接修改运行时变量即可，无需重启：
SET PERSIST partial_revokes = ON;
验证是否启用成功：
SELECT @@global.partial_revokes;
返回 1 表示已启用。注意：SET PERSIST 会将值写入 mysqld-auto.cnf，避免重启丢失；若用 SET GLOBAL，则实例重启后失效。
常见错误现象：
- 执行
REVOKE ... FROM user报错ERROR 3790 (HY000): Cannot revoke privileges on *.* from 'u'@'%' because it has partial revokes—— 这说明该用户已有部分撤销规则，不能直接用传统REVOKE清空全局权限 - 未设
partial_revokes=ON就尝试添加部分撤销，会报错ERROR 3789 (HY000): Partial revokes are disabled
怎么给用户加一条“禁止查 sys 库”的部分撤销？
语法是 REVOKE ... ON database.* FROM user，注意不是 ON *.*，也不是 ON database.table：
REVOKE SELECT ON sys.* FROM 'appuser'@'%';
这条命令不会影响 appuser 对其他库（如 myapp）的 SELECT 权限，也不会动其全局 SELECT 权限本身，只新增一条“例外规则”。
查看当前用户的全部权限（含部分撤销）：
SHOW GRANTS FOR 'appuser'@'%';
输出中会出现类似这一行：
REVOKE SELECT ON `sys`.* FROM `appuser`@`%`
注意事项：
- 撤销目标必须是已存在的数据库名，不能是通配符（如
`test_%`.*不合法） - 不能对
INFORMATION_SCHEMA加部分撤销（MySQL 显式禁止） - 如果用户有
SELECT ON *.*，又加了REVOKE SELECT ON sys.*，那么查sys库任何表都会报ERROR 1142 (42000): SELECT command denied to user
部分撤销和普通授权混用时，权限怎么算？
MySQL 按“显式拒绝 > 显式授权 > 隐式拒绝”顺序判断。也就是说，REVOKE SELECT ON sys.* 优先级高于 GRANT SELECT ON *.*。
典型冲突场景：
- 用户有
GRANT SELECT ON *.*，再执行REVOKE SELECT ON sys.*→ 查sys报错，查其他库正常 - 用户有
GRANT SELECT ON myapp.*，又执行REVOKE SELECT ON myapp.t1→ 无效，因为部分撤销不支持表级粒度 - 用户被
GRANT ALL ON *.*，再REVOKE PROCESS ON *.*→ 成功，PROCESS被移除；但REVOKE SELECT ON sys.*也仍有效（两者不冲突）
真正容易被忽略的是：部分撤销规则一旦添加，就不能用 DROP USER 直接删掉——必须先 DROP 用户，再手动清理 mysql.role_edges 和 mysql.default_roles 中残留记录（极少发生，但升级或迁移时可能遇到）。
