<p>不能用SYSTEM_VARIABLESADMIN授临时库权限，因其专用于SET GLOBAL/PERSIST操作，非建库所需；正确做法是用命名约定（如tmp%）+角色+通配符授权（GRANT ... ON tmp_%.* TO role），再绑定用户并激活角色。</p>
直接给开发人员 SYSTEM_VARIABLES_ADMIN 权限是错的，不仅解决不了临时建库问题，反而可能让实例抖动甚至主库被误写。
为什么不能用 SYSTEM_VARIABLES_ADMIN 授临时库权限
这个权限根本不是为建库设计的：SYSTEM_VARIABLES_ADMIN 允许执行 SET GLOBAL 或 SET PERSIST，比如调大 max_connections、关掉 read_only，一不小心就影响全实例。开发连自己应用库的 SELECT 都常被限制，哪需要动全局变量？
- 常见错误现象：脚本里写了
GRANT SYSTEM_VARIABLES_ADMIN ON *.* TO 'dev'@'%'，结果用户真去执行SET GLOBAL sort_buffer_size = 1073741824，内存爆满 - 误以为授了它就能
CREATE DATABASE——实际需要的是CREATE（静态权限），和动态权限无关 -
SYSTEM_VARIABLES_ADMIN在 MySQL 8.0 中属于高危动态权限，DBA 应严格管控，不向开发开放
怎样安全实现“临时库”权限隔离
核心是命名约定 + 角色 + 通配符授权，避免给 *.* 全局权限。
- 约定临时库名前缀，例如全部用
tmp_或devtest_开头 - 创建专用角色：
CREATE ROLE 'temp_db_dev'; - 授予权限时用反引号+通配符：
GRANT CREATE, DROP, ALTER, SELECT, INSERT, UPDATE, DELETE ON `tmp_%`.* TO 'temp_db_dev'; - 把角色赋予用户：
GRANT 'temp_db_dev' TO 'dev1'@'%'; - 必须激活角色：
SET DEFAULT ROLE ALL TO 'dev1'@'%';，否则权限不生效
这样开发能自由建 tmp_order_v2、删 tmp_cache_test，但无法碰 prod_user 或 sys 库——通配符只匹配前缀，不越界。
如何配置带时间约束的临时账号
MySQL 原生不支持 GRANT ... UNTIL 这类语法，“有效期”必须靠外部机制兜底。
- 推荐方式：用
PASSWORD EXPIRE控制账号生命周期（MySQL 8.0.13+）
先创建用户：CREATE USER 'temp_dev'@'%' IDENTIFIED BY 'Temp@2026';
再设精确过期时间：ALTER USER 'temp_dev'@'%' PASSWORD EXPIRE AT '2026-06-11 10:00:00';
注意：default_password_lifetime不能为 0，否则失效 - 该机制只阻断新登录，已建立连接不受影响——这是最容易忽略的一点
- 若需更细粒度（如某张表权限仅保留 2 小时），必须用外部定时任务调
REVOKE+FLUSH PRIVILEGES，MySQL 的EVENT默认不能执行权限变更
临时表权限怎么单独配才有效
CREATE TEMPORARY TABLES 是独立权限位，不继承、不隐含，必须显式授予，且必须绑定具体数据库。
- 正确写法：
GRANT CREATE TEMPORARY TABLES ON `app_db`.* TO 'dev1'@'%';（库名必须用反引号，后缀.*不可省） - 不能写成
ON *.*（语义模糊，8.0+ 虽通过但不推荐），也不能写成ON app_db（会被当表名报错） - 如果开发要在多个库建临时表，得逐个授权：
GRANT CREATE TEMPORARY TABLES ON `log_db`.* TO 'dev1'@'%'; - 有该权限 ≠ 能灌数据：
CREATE TEMPORARY TABLE t AS SELECT * FROM orders;还要求对orders表有SELECT权限
最常被忽略的是：权限检查发生在 CREATE TEMPORARY TABLE 执行时，不是连接时；且临时表只对当前会话可见，断连即销毁——所以权限本身不带来数据残留风险，但源表读取权限另算。
