必须用REPLICATION SLAVE权限，且只能授予从库真实IP（如'repl'@'192.168.5.22'），MySQL 8.0+需加PASSWORD EXPIRE NEVER，否则Replica_IO_Running为No；该权限是唯一硬性必需，不依赖binlog_format，也不需SELECT等数据权限。
必须用 REPLICATION SLAVE 权限，且只能授给从库真实连接 IP，不能给业务账号、不能用 % 匹配所有主机、不能漏掉 PASSWORD EXPIRE NEVER（MySQL 8.0+）——否则从库连不上或连上后 Replica_IO_Running 一直是 No。
REPLICATION SLAVE 是唯一硬性必需权限
从库 I/O 线程靠它读取主库 binlog，缺了就起不来。常见错误是只给 SELECT 或 REPLICATION CLIENT，结果执行 START REPLICA 后报错：Access denied; you need (at least one of) the SUPER or REPLICATION SLAVE privilege(s)。这个权限不需要搭配任何数据权限（SELECT、SHOW DATABASES 都不用），也不依赖 binlog_format 设置——但后者影响数据一致性，是另一回事。
-
GRANT REPLICATION SLAVE ON *.* TO 'repl'@'192.168.5.22'—— host 必须和从库发起连接的 IP 一致 - 不要写成
'repl'@'localhost'（从库不是本地连）、也不要写成'repl'@'%'（MySQL 8.0+ 默认拒绝该匹配） - 旧版 MySQL 可能还要求
FILE权限，但 5.7+ 和 8.0+ 已完全不需要，加了反而扩大攻击面
MySQL 8.0+ 创建复制账号必须处理密码过期策略
不显式禁用密码过期，就会触发 ERROR 3092 (HY000): The account currently does not have the necessary privileges to execute this command，即使权限语句看起来全对。这是因为 MySQL 8.0 默认 default_password_lifetime = 360，而复制账号一旦密码“年龄”超期，REPLICATION SLAVE 权限会被静默禁用。
- 正确做法：创建时加
PASSWORD EXPIRE NEVER：CREATE USER 'repl'@'192.168.5.22' IDENTIFIED BY 'p' PASSWORD EXPIRE NEVER - 不推荐做法：全局关掉策略
SET GLOBAL default_password_lifetime = 0（削弱整体账户安全） - 验证方式：
SELECT user, host, password_last_changed, account_locked FROM mysql.user WHERE user = 'repl'
REPLICATION CLIENT 是可选补充，别误授给应用账号
REPLICATION CLIENT 不是复制运行所必需的，但它能让账号执行 SHOW REPLICA STATUS、SHOW MASTER STATUS 等监控命令。MySQL 8.0.23+ 官方建议加上，方便排查。
- 可以加，但仅限复制账号本身：
GRANT REPLICATION CLIENT ON *.* TO 'repl'@'192.168.5.22' - 千万别给报表用户、ETL 账号、API 连接账号加这个权限——它允许执行
STOP REPLICA，等于让业务代码能中断同步 - 应用账号连从库只需
SELECT，再多就是越权；DBA 或监控脚本才需要REPLICATION CLIENT
权限生效后，记得检查 Replica_IO_Running 状态
授权只是第一步，真正起作用要看从库线程是否跑起来。很多问题出在权限给了、账号也建了，但没验证实际行为。
- 在从库执行：
SHOW REPLICA STATUS\G - 重点看两行：
Replica_IO_Running: Yes（说明REPLICATION SLAVE生效且网络通）、Replica_SQL_Running: Yes（说明 SQL 线程也在工作） - 如果
IO_Running是No，先查从库错误日志：SHOW REPLICA STATUS里的Last_IO_Error字段，90% 是权限或网络问题 -
FLUSH PRIVILEGES在主库执行后，已建立的连接不会立刻更新权限，但复制账号一般新建连接，所以影响不大；关键是确保从库用的是新账号重连
最易被忽略的是：复制账号的 host 必须和从库实际出站 IP 完全一致，且 MySQL 8.0+ 下密码策略会静默废掉权限——这两点不验，光看 GRANT 语句是否成功，根本发现不了问题。
