MySQL不支持对单个UDF函数授予EXECUTE权限，只能按数据库粒度分配；调用UDF时仅检查用户是否拥有该函数所在数据库的EXECUTE权限，且权限系统不识别GRANT EXECUTE ON FUNCTION语法。
MySQL 不支持对单个 UDF 函数授予 EXECUTE 权限——这个权限只能按数据库（schema）粒度分配，不能细化到具体函数名。试图执行 GRANT EXECUTE ON FUNCTION db_name.udf_name TO 'user'@'%'; 会报错 ERROR 1370 (42000): execute command denied to user，因为 MySQL 的权限系统压根不识别函数级 EXECUTE 授权语法。
为什么 GRANT EXECUTE ON FUNCTION 会失败
MySQL 的权限表（mysql.procs_priv）虽记录函数级权限，但仅用于存储过程/函数的 DEFINER 权限检查，不用于运行时调用控制。UDF 的调用权限完全由两层决定：CREATE FUNCTION 权限（创建时需要）和数据库级 EXECUTE 权限（调用时检查）。没有中间态。
-
CREATE FUNCTION是 DDL 权限，需CREATE ROUTINE+INSERT到mysql.func表（5.7 及以前）或mysql.plugin（8.0+） - 调用时只查用户是否拥有该函数所在数据库的
EXECUTE权限，不管函数名是什么 -
SHOW CREATE FUNCTION或SELECT * FROM mysql.func查不到权限绑定关系，因为根本没存
实际能做的最小粒度授权
你只能给用户授予某个数据库的 EXECUTE 权限，然后确保该 UDF 函数注册在那个库下（虽然注册位置不影响调用，但这是唯一可操作的“归属”锚点）：
- 先确认 UDF 已加载且状态为
ACTIVE：SELECT PLUGIN_NAME, PLUGIN_STATUS FROM information_schema.PLUGINS WHERE PLUGIN_NAME = 'your_udf_name'; - 把函数注册进目标库（比如
mytools）：CREATE FUNCTION mytools.sys_exec RETURNS STRING SONAME 'lib_mysqludf_sys.so'; - 再授予权限：
GRANT EXECUTE ON mytools.* TO 'limited_user'@'%'; - 注意：即使函数注册在
mytools，用户仍可在任意库中调用mytools.sys_exec()，只要他有mytools库的EXECUTE权限
绕过限制的实用替代方案
真要隔离不同用户能调用的 UDF，只能靠间接控制：
- 为不同用户创建独立数据库（如
udf_user1,udf_user2），各自注册不同 UDF，再分别授EXECUTE权限 - 用视图封装 UDF 调用逻辑：
CREATE VIEW user1_safe_cmd AS SELECT sys_exec('ls /tmp') AS result;，然后只授SELECT权限给视图 - 禁用 UDF 加载本身：
SET GLOBAL secure_file_priv = '/tmp';+ 移除plugin_dir写权限 + 启动时加--plugin-load-add=空白列表，从源头掐断 - 监控调用行为：开启 general log 或使用审计插件（如
audit_log），过滤含sys_exec、sys_eval的语句
最常被忽略的一点：即使你只给了 EXECUTE 权限，用户仍可能通过 SELECT 查询 mysql.func 表反推出所有已注册 UDF 名称——这不属于权限控制范围，得靠最小权限启动 mysqld（不用 root）+ 剥离 SELECT 权限来缓解。
