不能用同一数据库配多个账号隔离模块，因information_schema.tables会暴露全部表名，且跨表授权无法阻止越权查询；必须物理隔离，即每个模块独占数据库和账号，并通过只读视图+严格主机段授权+Git化SQL脚本管理权限。
为什么不能用同一个数据库配多个账号来隔离模块
共用一个库时，哪怕给不同账号授不同表权限，information_schema.tables 仍会暴露全部表名，应用一旦出错或被注入，就可能猜到其他模块的表结构；更关键的是，GRANT SELECT ON db1.orders, db1.users 这种跨表授权无法阻止账号执行 SELECT * FROM users——只要它有 db1.users 的 SELECT 权限，就能查。物理隔离才是唯一能防“越权发现”的方式。
建独立数据库 + 独立账号是唯一推荐做法
每个模块对应一个库+一个账号，比如订单模块用 db_order 和 app_order，用户模块用 db_user 和 app_user。操作必须分三步走：
- 先
CREATE DATABASE db_order CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; - 再
CREATE USER 'app_order'@'10.20.%.%' IDENTIFIED BY 'strong_pwd';（主机段必须写具体网段，禁用'%'@'%'） - 最后
GRANT SELECT, INSERT, UPDATE ON db_order.* TO 'app_order'@'10.20.%.%';（不加DELETE或DROP，除非模块真要软删或动态建表）
注意：FLUSH PRIVILEGES 不需要执行——GRANT 后权限立即生效；但若你手抖改了 mysql.user 表，才必须刷。
模块间要查对方数据怎么办
绝不直接授 SELECT ON db_user.* 给 app_order。正确路径只有一条：在 db_user 库里建只读视图，限定字段和行范围，再授视图权限。
例如订单页需展示用户昵称和头像 URL：
CREATE VIEW user_profile_lite AS SELECT id, nickname, avatar_url FROM users WHERE status = 'active';
然后：
GRANT SELECT ON db_user.user_profile_lite TO 'app_order'@'10.20.%.%';
这样既满足业务，又不会暴露手机号、密码哈希、注册 IP 等敏感字段，也不用担心 app_order 顺手 SELECT * FROM users 扫库。
权限变更必须走 Git + SQL 脚本发布
线上环境任何权限增删，禁止用 Navicat 点点点，也不许在终端里手敲 GRANT。所有变更必须写成带注释的 SQL 文件，例如 20260411_app_order_add_update_user_view.sql，内容含 REVOKE 旧权限 + GRANT 新权限 + -- WHY: 订单导出需同步更新用户最后下单时间。
这类脚本和应用代码一起进 Git，走 CI/CD 流水线执行。好处是：谁改的、什么时候改的、为什么改、改前权限是什么，全可追溯；回滚也只需重放上一版脚本。
最容易被忽略的一点：权限脚本里必须显式写主机段，比如 'app_order'@'10.20.%.%'，漏掉主机段或写成 'app_order'@'%'，等于把模块边界撕开一道口子。
