权限不足主因是CREATE、INSERT、DROP等DDL/DML权限未显式授予目标数据库层级或受secure_file_priv路径限制，FILE权限仅用于LOAD DATA INFILE等特定操作，与常规mysql -u -p db_name < script.sql无关。
导入 SQL 脚本时提示权限不足，绝大多数情况跟 FILE 或 SUPER 权限无关——盲目授这两个权限不仅解决不了问题，反而暴露严重安全风险。真正卡住的，通常是 CREATE、INSERT、DROP 这类 DDL/DML 权限没给到目标库层级，或者 secure_file_priv 限制了文件读取路径。
为什么授予 FILE 权限通常是个误导
FILE 权限只在使用 LOAD DATA INFILE 或 SELECT ... INTO OUTFILE 时才需要，而日常用 mysql -u user -p db_name 或 <code>source 命令导入，MySQL 是把文件内容当作普通 SQL 流解析执行的，不涉及服务端文件 I/O，根本不需要 FILE 权限。
常见误判场景：
- 看到报错里有
Can't get stat of '/path/to/file'就以为缺FILE，其实是 shell 层面当前用户没读取该路径的权限，和 MySQL 用户权限无关 - 云数据库（如阿里云 RDS、腾讯云 CDB）默认禁用
FILE权限且不可开启，但照样能用mysql客户端导入，证明它不是必需项 - 授予
FILE后问题仍在，说明根源不在这里
SUPER 权限在导入中几乎从不被触发
SUPER 权限用于修改全局系统变量、终止其他线程、启用/禁用日志等高危操作。标准 SQL 导入流程中，只有极少数边缘情况会用到它：
- SQL 文件开头含
SET GLOBAL语句（如SET GLOBAL sql_mode=...） - 使用
--set-gtid-purged=ON导出的 dump 文件，在导入时尝试重置 GTID_EXECUTED（此时实际需要的是SESSION_VARIABLES_ADMIN或SYSTEM_VARIABLES_ADMIN，8.0+ 已取代SUPER） - 某些旧版备份脚本硬编码了
RESET MASTER等命令
如果你的 SQL 文件是常规结构+数据导出（无 SET GLOBAL、无 RESET、无存储过程定义里的 DEFINER 切换），授 SUPER 完全多余，还可能违反最小权限原则，被审计直接标红。
真正该检查的三处权限点
导入失败最常卡在以下三个位置，按优先级排查：
-
目标库级 CREATE 权限缺失：命令里写了
mysql -u u1 -p myapp_db < dump.sql，但只执行过GRANT ALL ON *.* TO 'u1'@'%'—— MySQL 会忽略通配符，必须显式执行GRANT CREATE, DROP, INSERT ON `myapp_db`.* TO 'u1'@'host';（注意反引号包裹库名） -
secure_file_priv 限制路径：运行
SELECT @@secure_file_priv;，如果返回非空路径（如/var/lib/mysql-files/），说明LOAD DATA INFILE只能从该目录读；但对< script.sql导入无影响，除非你误用了source加载一个位于禁止路径下的文件 -
SQL 文件含 CREATE DATABASE 或 USE 语句：如果文件开头有
CREATE DATABASE IF NOT EXISTS myapp_db;，则需额外GRANT CREATE ON *.* TO 'u1'@'host';；如果只有USE myapp_db;，那只需确保该库存在，且用户对该库有权限
快速验证与修复步骤
别猜，用这几条命令定位真实瓶颈：
- 确认连接身份：
SELECT USER(), CURRENT_USER();—— 后者才是权限匹配依据 - 查真实生效权限：
SHOW GRANTS FOR CURRENT_USER();（不是FOR 'u1'@'%'） - 看报错具体行号：
mysql -u u1 -p myapp_db < dump.sql 2>&1 | head -n 20，找到第一个ERROR 1142提示的操作（如CREATE TABLE、INSERT）和表名 - 立即补权（以
myapp_db为例）：GRANT CREATE, DROP, INSERT, SELECT, ALTER ON `myapp_db`.* TO 'u1'@'host'; FLUSH PRIVILEGES;
复杂点在于：权限检查是动态逐层匹配的，CURRENT_USER() 的 host 字符串必须完全一致，大小写、IP 段掩码、localhost vs 127.0.0.1 都算不同账号——这点最容易被忽略，也最难调试。
