MySQL批量授予权限不能直接INSERT到mysql.user表，因该表受权限缓存强约束，绕过校验、哈希与匹配逻辑，导致权限不生效或登录异常；必须使用GRANT或CREATE USER+GRANT。
MySQL 批量授予权限时为什么不能直接用 INSERT 到 mysql.user 表
因为 mysql.user 是系统视图（5.7+ 实际为 InnoDB 表但受权限缓存强约束），直接写入不触发权限加载，且字段校验、密码哈希、主机匹配逻辑全被绕过，FLUSH PRIVILEGES 也救不回来——轻则权限不生效，重则导致用户登录异常。
正确路径只有一条：用 GRANT 语句逐条执行，或通过生成 SQL 后批量执行。
- 必须用
GRANT或CREATE USER+GRANT组合，不可跳过语法层 -
GRANT会自动处理密码加密（如AUTHENTICATION_STRING）、主机通配符（'%'vs'localhost'）和权限合并逻辑 - 低版本 MySQL（ERROR 1396 (HY000): Operation CREATE USER failed 类错误
用 shell 循环 + mysql 命令行批量授权的实操要点
核心是把用户、库、权限列表转成可拼接的 SQL 字符串，再喂给 mysql -e。别用 for 直接拼 SQL 字符串进命令——空格、单引号、特殊字符一概崩。
推荐用 here-document 避免 shell 解析污染：
while IFS=',' read -r user host db priv; do mysql -Nse <<EOF CREATE USER IF NOT EXISTS '$user'@'$host' IDENTIFIED BY 'temp123'; GRANT $priv ON $db.* TO '$user'@'$host'; FLUSH PRIVILEGES; EOF done < users.csv
-
-N去掉列名，-s禁用表格格式，避免解析干扰 - CSV 中的
host字段必须严格匹配实际连接来源（'192.168.1.%'和'localhost'是两个不同用户） - 权限字符串如
SELECT,INSERT不能带空格，否则GRANT语法报错ERROR 1064 (42000) - 生产环境务必先在测试库跑
DRY_RUN=1模式，把 SQL 打印出来人工核对
用权限模板生成 SQL 文件再 source 的安全做法
比实时循环更可控：先生成完整 SQL 脚本，人工 review 后再执行，适合 DBA 审批流程。
模板示例（保存为 grant_template.sql）：
CREATE USER IF NOT EXISTS <user>@<host> IDENTIFIED BY '<password>'; GRANT <privileges> ON <database>.* TO '<user>@<host>';
用 sed 或 Python 替换变量（注意单引号转义）：
sed -e "s/<user>/alice/g" \
-e "s/<host>/10.0.0.%/g" \
-e "s/<password>/p@ssw0rd/g" \
-e "s/<privileges>/SELECT,UPDATE/g" \
-e "s/<database>/app_log/g" \
grant_template.sql > alice_grant.sql- 所有替换值必须用单引号包裹，且原模板里不能出现未转义的
'，否则sed报错 -
source alice_grant.sql前确认已用USE mysql;切换到系统库（部分老版本要求） - 若权限含
WITH GRANT OPTION，需额外检查目标用户是否已有该能力，重复授予会报错ERROR 1410 (42000)
批量回收权限时容易漏掉的两个关键点
REVOKE 不等于 DROP USER，也不自动清理残留权限记录。最常踩的坑是：只 revoke 了库级权限，忘了表级或列级权限还挂着。
- 查残留权限用：
SELECT * FROM mysql.tables_priv WHERE User='xxx';和SELECT * FROM mysql.columns_priv WHERE User='xxx'; -
REVOKE ALL PRIVILEGES ON *.* FROM 'u'@'h';不会删用户，但也不会清空mysql.db表里的旧记录——得手动DELETE FROM mysql.db WHERE User='u' AND Host='h';再FLUSH PRIVILEGES; - MySQL 8.0+ 引入角色（
ROLE），如果用户通过角色继承权限，REVOKE必须明确指定角色：REVOKE app_reader FROM 'u'@'h';
批量操作没有“撤回键”，每一步都得留日志、做备份、验证结果。权限这事，宁可慢一点，别信“应该没问题”。
