备份账号需至少SELECT、LOCK TABLES、SHOW VIEW、TRIGGER权限；若用--single-transaction还需REPLICATION CLIENT；EVENT为可选；应按最小权限原则针对具体库授权，禁用全局ALL PRIVILEGES。
备份账号需要哪些最小权限才能用 mysqldump 正常工作
只给 SELECT 权限是不够的，mysqldump 默认会尝试加表锁、查元数据、处理视图和存储过程，缺权限就直接报错退出。真实场景下，一个能跑通全库逻辑备份（不含 --single-transaction）的账号，至少要这些：
-
SELECT：读取所有待备份表的数据 -
LOCK TABLES：让mysqldump能执行FLUSH TABLES WITH READ LOCK或显式LOCK TABLES ... READ（尤其在非事务引擎如 MyISAM 下必须） -
SHOW VIEW：否则 dump 视图时会报Access denied; you need (at least one of) the SHOW VIEW privilege(s) for this operation -
TRIGGER：否则带触发器的表 dump 会失败，报Access denied; you need (at least one of) the TRIGGER privilege(s) -
EVENT（可选）：如果库中有事件调度器任务，且你希望 dump 出来，就得加这个
注意：RELOAD 权限不是必须的——它只在你要用 --flush-logs 或 FLUSH LOGS 时才需要；普通备份不用。
为什么不用 GRANT ALL PRIVILEGES ON *.* 给备份账号
因为太宽泛，等于给了 DROP DATABASE、CREATE USER、SHUTDOWN 等高危权限，一旦账号泄露或配置错误，后果严重。线上备份账号应严格遵循“最小权限原则”，只对目标数据库（比如 app_db）授权，而不是全局。
MySQL8 CRM Schema Design Expert
下载
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
- 正确做法：
GRANT SELECT, LOCK TABLES, SHOW VIEW, TRIGGER ON app_db.* TO 'backup_user'@'10.20.30.%'; - 错误做法：
GRANT ALL PRIVILEGES ON *.* TO 'backup_user'@'%';（暴露整个实例） - 如果要用
--single-transaction（推荐用于 InnoDB），LOCK TABLES可省略，但SELECT必须有，且账号需有REPLICATION CLIENT权限——因为mysqldump会调用SELECT @@global.gtid_mode和SHOW MASTER STATUS等，否则可能报Access denied; you need (at least one of) the REPLICATION CLIENT privilege(s)
LOCK TABLES 权限的实际影响和常见卡点
LOCK TABLES 不是“锁整个库”的魔法开关，它只是允许用户执行 LOCK TABLES t1 READ, t2 READ 这类语句。但真正决定备份一致性的，是 mysqldump 的参数组合和存储引擎行为。
- MyISAM 表必须依赖
LOCK TABLES+FLUSH TABLES WITH READ LOCK才能保证一致性；没这个权限，dump 直接失败 - InnoDB 表在启用
--single-transaction时，会绕过LOCK TABLES，改用一致性快照，此时该权限可不给——但要注意：如果库中混有 MyISAM 表，mysqldump仍会尝试加锁，没权限就崩 - 常见错误现象：
mysqldump: Got error: 1045: Access denied for user 'backup_user'@'10.20.30.5' (using password: YES) when using LOCK TABLES，基本就是漏了LOCK TABLES或权限没刷到（别忘了FLUSH PRIVILEGES;）
备份账号权限验证的实操检查项
别等半夜 dump 失败才排查，上线前用几条命令快速验权限是否真生效：
- 连上去后执行：
SHOW GRANTS FOR 'backup_user'@'10.20.30.%';，确认输出里有对应库的SELECT、LOCK TABLES等行 - 手动模拟 dump 关键动作：
LOCK TABLES mysql.user READ;（测试LOCK TABLES）、SHOW CREATE VIEW information_schema.SCHEMATA;（测SHOW VIEW）、SELECT * FROM mysql.triggers LIMIT 1;（测TRIGGER） - 用最小参数试跑一次：
mysqldump --no-create-info --skip-triggers --skip-events -h db-host -u backup_user -p app_db users > /dev/null，成功说明核心权限 OK
权限粒度越细，出问题时定位越快；但反过来，漏掉任意一个实际用到的权限，mysqldump 都不会温柔提示，而是直接中断并甩一句模糊的 Access denied——得靠上面这几步提前堵住。
