应使用VIEW+专用账号实现最小权限控制：先建安全视图封装字段与过滤逻辑，再创建用户并仅授予该视图SELECT权限，最后显式撤销所有隐式权限；关键需设SQL SECURITY DEFINER确保依赖对象权限不暴露给BI账号。
为什么不能直接给BI工具账号授予表级 SELECT 权限
直接对 mysql.user 或业务库的基表（如 orders、customers）授 SELECT，会让 BI 工具拿到远超所需的数据权限。比如误点“显示所有列”或执行 SELECT * FROM information_schema.tables 就可能泄露元数据；更严重的是，一旦视图逻辑变更或基表结构调整，BI 查询可能突然失败，而你根本没在权限层做隔离。
用 VIEW + 专用账号是更可控的方式：视图封装好字段、过滤条件和关联逻辑，账号只被允许查这个视图，不碰底层表，也不见其他对象。
如何创建最小权限的只读视图账号（MySQL 8.0+）
核心思路是三步：建视图 → 创建用户 → 只对视图授 SELECT → 显式拒绝其他权限。注意：MySQL 不支持直接对视图授 SHOW VIEW 以外的权限（如 UPDATE），但必须确保用户没有对基表或数据库的隐式权限。
- 先在目标库（如
bi_db）中创建安全视图：CREATE VIEW bi_db.v_sales_summary AS SELECT date, region, SUM(amount) AS total_revenue, COUNT(*) AS order_count FROM sales s JOIN regions r ON s.region_id = r.id WHERE s.status = 'completed' AND s.date >= DATE_SUB(NOW(), INTERVAL 2 YEAR) GROUP BY date, region;
- 创建账号并设密码（避免空密码或弱密码）：
CREATE USER 'bi_reader'@'10.20.%' IDENTIFIED BY 'StrongPass!2024';
- 只授予该视图的
SELECT权限：GRANT SELECT ON bi_db.v_sales_summary TO 'bi_reader'@'10.20.%';
- 显式撤销可能继承的全局/库级权限（关键！）：
REVOKE ALL PRIVILEGES ON *.* FROM 'bi_reader'@'10.20.%'; REVOKE ALL PRIVILEGES ON bi_db.* FROM 'bi_reader'@'10.20.%';
常见踩坑：视图查询报错 “SELECT command denied”
即使给了视图 SELECT 权限，执行时仍报错，大概率是视图定义里引用了用户无权访问的基表或函数。MySQL 在运行视图时会校验调用者对**所有依赖对象**的权限，不是只看视图本身。
- 检查视图依赖：
SELECT * FROM information_schema.VIEW_TABLE_USAGE WHERE VIEW_SCHEMA = 'bi_db' AND VIEW_NAME = 'v_sales_summary';
- 确认
bi_reader对sales和regions表有SELECT？—— 不需要，也不应该给。正确解法是用SQL SECURITY DEFINER创建视图，让其以定义者（如admin）身份执行：CREATE SQL SECURITY DEFINER VIEW bi_db.v_sales_summary AS ...;
- 定义者账号（如
'admin'@'localhost'）必须存在，且拥有视图内所有基表的SELECT权限 - MySQL 5.7 默认是
DEFINER，但若定义者账号被删或权限被 revoke，视图会失效
BI 连接时验证权限是否生效的实操检查项
别等报表上线才发现查不了。连上后立刻执行这几条命令验证：
- 确认当前用户：
SELECT CURRENT_USER();
应返回bi_reader@10.20.x.x - 确认能查视图：
SELECT * FROM bi_db.v_sales_summary LIMIT 1;
- 确认不能查基表：
SELECT * FROM bi_db.sales LIMIT 1;
—— 必须报错ERROR 1142 (42000): SELECT command denied to user... - 确认不能跨库：
SELECT * FROM mysql.user;
—— 同样应报权限错误 - 确认不能写：
INSERT INTO bi_db.v_sales_summary VALUES ();
—— 报错ERROR 1356 (HY000): View 'bi_db.v_sales_summary' is not updatable是预期行为
视图是否可更新不是重点，重点是它是否真正隔离了底层数据和操作面。只要 SELECT 走通、其他操作全拒，这个账号就算立住了。
