MySQL的GRANT语句不支持用户名通配符（如'dev_%'），仅支持主机段通配（如@'%'）；需用MySQL 8.0+角色机制或脚本批量授权，并注意CURRENT_USER()验证与FLUSH PRIVILEGES生效。
MySQL 中 GRANT 语句不支持通配符用户名
mysql 的 grant 语法里，username 部分**不能用 '%' 或正则匹配用户**——它只接受字面量用户名（如 'dev_user'）或带主机段的 'dev_user'@'%'。所谓“万能用户通配符授权”，本质是混淆了「主机名通配」和「用户名通配」两个概念。
常见错误现象：GRANT ALL ON *.* TO 'dev_%'@'localhost'; 看似想批量授权所有 dev_* 用户，但 MySQL 会直接报错 ERROR 1410 (42000): You are not allowed to create a user with GRANT，因为用户名部分不支持模式匹配。
- 真正能通配的只有主机段（
@'%.example.com'、@'%'），不是用户名 - 如果真要管理多用户权限，得靠脚本批量生成
GRANT语句，或用 MySQL 8.0+ 的角色（ROLE）机制统一赋权 - MySQL 5.7 及以前版本连角色都不支持，硬要“通配”只能靠运维脚本 + 定期同步
用 MySQL 8.0+ 角色实现“一类用户”的统一授权
如果你用的是 MySQL 8.0.0+，角色（ROLE）是目前最接近“通配授权”需求的合法方案：先建一个角色，授予权限，再把多个用户 GRANT 这个角色。
使用场景：开发团队有 'dev_a'、'dev_b'、'dev_c' 等十几个账号，都需访问 test_db 的读写权限，且未来新增用户也要自动继承。
- 创建角色：
CREATE ROLE 'dev_role'; - 给角色授权：
GRANT SELECT, INSERT, UPDATE ON test_db.* TO 'dev_role'; - 把用户加入角色：
GRANT 'dev_role' TO 'dev_a'@'%', 'dev_b'@'%', 'dev_c'@'%'; - 启用角色（对每个用户执行一次）：
SET DEFAULT ROLE 'dev_role' TO 'dev_a'@'%';
注意：SET DEFAULT ROLE 必须显式调用，否则即使 GRANT 了角色，用户登录后也不会自动激活权限。
MySQL 5.7 及更早版本的替代方案：用脚本生成授权语句
没有角色？那就别幻想“通配”，老老实实批量处理。核心思路是：查出匹配用户名的列表，拼成 GRANT 语句，再执行。
常见错误现象：直接在 SQL 里写 SELECT CONCAT('GRANT ... ', user, '@', host) FROM mysql.user WHERE user LIKE 'dev_%';，结果只是查出字符串，没执行授权。
- 安全做法：用客户端工具（如
mysql -e）配合 shell 脚本生成并执行，例如：mysql -Nse "SELECT CONCAT('GRANT SELECT ON test_db.* TO ''',user,'''@''',host,''';') FROM mysql.user WHERE user LIKE 'dev_%'" | mysql - 必须加
-N（无列名）和-s（精简格式），否则CONCAT输出会被表头/分隔符污染 - 执行前务必用
SELECT先预览生成的语句，避免误授ALL PRIVILEGES给不该有的用户 - MySQL 5.7 默认关闭
log_bin_trust_function_creators，自定义函数生成语句可能失败，优先用外部脚本
权限生效与连接验证的关键检查点
无论用角色还是批量 GRANT，权限不会自动刷新到已存在的连接里，而且主机名解析、SSL 设置、SQL_MODE 都会影响实际行为。
- 执行完
GRANT或CREATE ROLE后，必须运行FLUSH PRIVILEGES;（MySQL 5.7+ 在多数情况下可省略，但保险起见仍建议执行） - 验证权限是否生效，别只看
SHOW GRANTS FOR 'dev_a'@'%';，要用该用户真实连接后执行SELECT USER(), CURRENT_USER();—— 前者是客户端声明的用户，后者才是服务器认证后的实际用户，两者不同说明主机段匹配出问题 - 如果应用连的是
127.0.0.1，但授权的是'dev_a'@'localhost'，在 MySQL 里这两者不等价（localhost走 Unix socket，127.0.0.1走 TCP），权限不生效 - MySQL 8.0 默认启用
caching_sha2_password插件，旧客户端可能无法认证，导致连上去却报权限拒绝，其实是根本没连成功
真正麻烦的从来不是怎么写授权语句，而是搞清当前连接到底以哪个 CURRENT_USER() 身份在跑，以及这个身份有没有被正确匹配到某条 mysql.user 记录上。
