直接查mysql.user中Select_priv='Y'会漏判，因全局权限分散在28个*_priv字段中，需用'Y' IN (所有_priv字段)查询；SHOW GRANTS更可靠，因其自动合并全局、库、表级权限。
直接查mysql.user里Select_priv='Y'的用户会漏权限
全局权限不只看Select_priv字段。MySQL 5.7 的 mysql.user 表里，Super_priv、Reload_priv、Shutdown_priv 等字段各自独立控制不同能力，而Grant_priv='Y'才表示能授予权限——但即使这些全是'N'，用户仍可能通过库级权限（mysql.db）间接获得全局效果（比如对performance_schema或information_schema有全库SELECT）。所以单靠SELECT * FROM mysql.user WHERE Select_priv='Y'会误判。
真正要查“有任意全局权限”的用户，得检查所有Y/N字段
MySQL 5.7 中，mysql.user 表里以_priv结尾的字段共 28 个（如Create_user_priv、Process_priv等），只要其中任一为'Y'，就说明该用户拥有至少一项全局权限。推荐用这个查询：
SELECT User, Host FROM mysql.user
WHERE 'Y' IN (Select_priv, Insert_priv, Update_priv, Delete_priv,
Create_priv, Drop_priv, Reload_priv, Shutdown_priv,
Process_priv, File_priv, Grant_priv, References_priv,
Index_priv, Alter_priv, Show_db_priv, Super_priv,
Create_tmp_table_priv, Lock_tables_priv, Execute_priv,
Repl_slave_priv, Repl_client_priv, Create_view_priv,
Show_view_priv, Create_routine_priv, Alter_routine_priv,
Create_user_priv, Event_priv, Trigger_priv);注意：authentication_string和password_expired等非权限字段不能参与IN判断；字段名必须完全匹配，大小写敏感；执行前确保已用FLUSH PRIVILEGES同步内存状态。
为什么SHOW GRANTS FOR 'u'@'h'比查表更可靠
SHOW GRANTS返回的是 MySQL 实际生效的授权语句，它自动合并了mysql.user、mysql.db甚至mysql.tables_priv中的权限，并做了逻辑归并（比如某用户在user表无SELECT，但在db表对test库有Select_priv='Y'，SHOW GRANTS会体现为GRANT SELECT ON test.* TO ...）。而直接查mysql.user只反映全局层，忽略库/表级覆盖。
- 查表适合批量扫描、审计脚本或排查权限来源
-
SHOW GRANTS适合验证单个用户真实能力，尤其调试连不上库或报ERROR 1044时 - 若
SHOW GRANTS返回空结果，说明该用户不存在或主机名不匹配（'user'@'127.0.0.1'≠'user'@'localhost'）
过滤出仅含全局权限、不含库级权限的用户
有些场景需要识别“纯全局账号”（比如DBA专用账号，不应对任何业务库有直接访问权）。这时需排除在mysql.db中有记录的用户：
SELECT u.User, u.Host
FROM mysql.user u
WHERE 'Y' IN (Select_priv, Insert_priv, Update_priv, Delete_priv,
Create_priv, Drop_priv, Super_priv, Grant_priv)
AND NOT EXISTS (
SELECT 1 FROM mysql.db d
WHERE d.User = u.User AND d.Host = u.Host AND d.Db != ''
);关键点：
-
mysql.db.Db != ''排除默认空库记录（如Db=''是通配占位，不算实际库权限） - 该查询不检查
tables_priv或columns_priv，因它们属于更细粒度，通常不影响“全局 vs 库级”分类 - 结果中若含
root@localhost，大概率是因为它在mysql.db里也有记录（比如对mysql库有权限），需人工确认是否符合预期
真正难处理的是那些被GRANT OPTION授予过权限传递能力的用户——他们可能没直接权限，却能让别人获得权限。这种隐式风险，查表和SHOW GRANTS都很难一眼看出，得结合操作日志和权限变更流程来管控。
