仅授予SHOW VIEW权限无法查看普通表结构，需额外授予INFORMATION_SCHEMA.TABLES、COLUMNS等的SELECT权限（MySQL 8.0.26+支持），并禁用所有业务库SELECT权限，才能实现纯看结构不查数据的安全隔离。
只给 SHOW VIEW 权限，不给 SELECT
仅查看表结构（如 DESCRIBE table_name、SHOW CREATE TABLE、SHOW COLUMNS）不需要 SELECT 权限，而是依赖 SHOW VIEW 权限。但注意：SHOW VIEW 本身只对视图生效；对普通表查结构，真正起作用的是 SELECT 权限——除非你用的是 MySQL 8.0+ 并配合 INFORMATION_SCHEMA 的细粒度控制。所以“纯看结构不碰数据”的可靠做法是：禁用 SELECT，只开 SHOW VIEW + 显式授予 INFORMATION_SCHEMA 的最小查询权。
-
SHOW VIEW单独授给某库（如appdb）后，用户仍无法对appdb中的普通表执行DESCRIBE——因为该语句底层会访问INFORMATION_SCHEMA.COLUMNS等系统表 - 必须额外执行：
GRANT SELECT ON INFORMATION_SCHEMA.TABLES TO 'dev'@'%';和GRANT SELECT ON INFORMATION_SCHEMA.COLUMNS TO 'dev'@'%';（MySQL 8.0+ 允许这样细粒度授权） - 若用 MySQL 5.7 或更早版本，
INFORMATION_SCHEMA的权限不可拆分，只能靠SELECT授权间接覆盖——此时“只看结构”实际无法与“可查数据”完全隔离
为什么 GRANT SELECT ON db.* 不等于能看结构
很多人试过 GRANT SELECT ON appdb.* TO 'dev'@'%'，发现用户确实能 DESCRIBE 表，但同时也拿到了查数据的权限，违背初衷。这是因为 SELECT 是数据级权限，它默认连带开放了对 INFORMATION_SCHEMA 相关元数据的读取能力（MySQL 内部机制）。换句话说：想用 SELECT 权限来“顺便”看结构，就必然暴露数据。
- 执行
SHOW GRANTS FOR 'dev'@'%'后如果看到SELECT出现在输出里，说明用户已有潜在查数据能力 - 即使你后续
REVOKE SELECT ON appdb.*，只要没清掉残留的全局或库级SELECT，权限依然有效 - 检查残留权限最直接方式：
SELECT * FROM mysql.db WHERE User='dev' AND Db='appdb'\G，看Select_priv字段是否为Y
安全闭环：创建专用账号 + 最小权限组合
不要复用已有开发账号做权限裁剪，容易漏掉旧规则。从零建一个只看结构的账号，才可控。
- 先创建账号（MySQL 8.0 要求显式
CREATE USER）：CREATE USER 'schema_reader'@'%' IDENTIFIED BY 'strong_pwd'; - 只授元数据权限：
GRANT SELECT ON INFORMATION_SCHEMA.TABLES TO 'schema_reader'@'%';、GRANT SELECT ON INFORMATION_SCHEMA.COLUMNS TO 'schema_reader'@'%';、GRANT SELECT ON INFORMATION_SCHEMA.STATISTICS TO 'schema_reader'@'%'; - 禁止任何业务库数据访问：
REVOKE ALL PRIVILEGES ON *.* FROM 'schema_reader'@'%';（确保无残留） - 验证时用该账号登录后执行：
USE appdb; DESCRIBE users;（应成功），再试SELECT * FROM users LIMIT 1;（应报错ERROR 1142 (42000): SELECT command denied）
容易被忽略的兼容性坑
MySQL 8.0 默认认证插件是 caching_sha2_password，而某些老客户端（如旧版 Navicat、DBeaver 配置未更新）连不上，会误判为“权限没生效”。这不是权限问题，是连接层失败。
- 建账号时加
IDENTIFIED WITH mysql_native_password BY 'xxx'可绕过（仅测试环境建议） -
INFORMATION_SCHEMA表权限在 MySQL 8.0.26+ 才稳定支持细粒度SELECT；低于此版本，GRANT SELECT ON INFORMATION_SCHEMA.COLUMNS会被静默忽略 - 如果用户需要看视图定义（
SHOW CREATE VIEW），除了SHOW VIEW，还得确保其DEFINER用户有对应权限，否则返回空或报错
实际操作中，最常卡住的地方不是语法写错，而是没意识到 DESCRIBE 和 SHOW COLUMNS 的背后依赖的是系统表查询能力，而非表自身权限。把 INFORMATION_SCHEMA 当成一个普通数据库来授权，思路就通了。
