phpMyAdmin不控制权限，用户能执行ALTER说明MySQL账户仍持有该权限；需用SHOW GRANTS确认，再REVOKE ALTER等结构权限，并注意CREATE/DROP也须一并回收以确保安全。
phpMyAdmin里用户还能执行ALTER说明权限没真正回收
phpmyadmin本身不控制权限，它只是mysql权限系统的前端。用户能执行 alter table，根本原因是mysql账户仍持有 alter 权限（或更宽泛的 all privileges），不是phpmyadmin设置的问题。
实操建议：
- 登录MySQL命令行（用root或高权限账号），运行
SHOW GRANTS FOR 'username'@'host';确认当前实际权限 - 若输出含
ALTER或ALL PRIVILEGES，必须显式收回：REVOKE ALTER ON `database_name`.* FROM 'username'@'host'; - 注意：
REVOKE不会自动FLUSH PRIVILEGES，但MySQL 8.0+已自动刷新；5.7及以前建议手动执行FLUSH PRIVILEGES; - 回收后，该用户在phpMyAdmin中点击“结构”页时，所有“更改”“删除”“添加字段”等按钮会灰掉或报错
#1142 - ALTER command denied
只禁ALTER但保留CREATE/DROP容易引发误操作
单纯收回 ALTER 而保留 CREATE 和 DROP 权限，用户仍可删表再重建——这本质上等同于重构表结构，反而更危险。
实操建议：
- 生产环境应按最小权限原则，一并收回
CREATE、DROP、INDEX、REFERENCES——这些都属于结构变更相关权限 - 典型安全组合是只留
SELECT、INSERT、UPDATE、DELETE（即DML权限） - 如果业务真需要建临时表，可用
CREATE TEMPORARY TABLES替代，它不涉及库级结构变更，且会话结束自动销毁
phpMyAdmin界面权限显示滞后或不准
phpMyAdmin的“用户账户”页面显示的权限，是读取 mysql.user 和 mysql.db 表快照，不实时反映刚执行的 REVOKE 操作，尤其跨连接时可能缓存旧状态。
立即学习“PHP免费学习笔记（深入）”；
实操建议：
- 别信phpMyAdmin界面上的“权限勾选框”，以
SHOW GRANTS输出为准 - 测试是否生效，直接在phpMyAdmin的SQL窗口执行
ALTER TABLE test ADD COLUMN x INT;，看是否报错#1142 - 如果报错但界面仍显示有权限，说明phpMyAdmin用了旧连接池，退出重登即可
MySQL 8.0角色机制让权限回收更可控
老版本靠手工 REVOKE 容易漏，8.0+支持角色（ROLE），能把结构权限打包管理，避免逐个账户维护出错。
实操建议：
- 创建专用角色：
CREATE ROLE 'app_dml_only'; - 授DML权限：
GRANT SELECT, INSERT, UPDATE, DELETE ON `myapp`.* TO 'app_dml_only'; - 从用户撤掉旧权限，再赋予角色：
REVOKE ALL PRIVILEGES ON `myapp`.* FROM 'user1'@'%'; GRANT 'app_dml_only' TO 'user1'@'%'; - 后续只要调整角色权限，所有绑定用户自动同步，不用挨个
REVOKE
权限回收不是点一下phpMyAdmin设置就完事的事——得进MySQL底层确认、组合收权、绕过界面幻觉。最容易被忽略的是：CREATE 和 DROP 不收，ALTER 收了也白收。
