MySQL支持列级SELECT权限，需用GRANT SELECT(id,name,email) ON db.table语法显式指定字段，但整表SELECT授权会覆盖列级限制；更安全的做法是通过视图封装并单独授权。
用 GRANT 语句限制字段级权限
MySQL 不支持直接对「单个字段」授只读权限，但可以通过 GRANT SELECT 指定具体字段列表实现等效效果。关键在于：必须显式列出允许访问的字段名，不能用 * 通配。
例如，让用户 reporter 只能查 users 表的 id、name、email 字段：
GRANT SELECT(id, name, email) ON mydb.users TO 'reporter'@'localhost';
- 字段名必须写在括号里，且不加反引号（除非字段含特殊字符）
- 该授权仅对
SELECT有效；INSERT/UPDATE/DELETE无法按字段限制，只能整表控制 - 如果后续给该用户授予了整表
SELECT权限（如GRANT SELECT ON mydb.users），则字段级限制会被覆盖
避免误授整表权限的常见操作陷阱
很多用户执行完字段级授权后，顺手又运行了带 * 的授权语句，结果权限扩大到整表——这是最常踩的坑。
检查当前用户的实际权限用：
SHOW GRANTS FOR 'reporter'@'localhost';
重点关注输出中是否出现类似这样的行：
GRANT SELECT ON `mydb`.`users` TO 'reporter'@'localhost'
- 只要看到这行，就说明该用户已获得整表
SELECT权限，字段限制失效 - 若发现误授，用
REVOKE SELECT ON mydb.users FROM 'reporter'@'localhost'撤销整表权限 -
FLUSH PRIVILEGES不是必需的，GRANT/REVOKE会自动刷新权限缓存
配合视图实现更灵活的字段隔离
当字段组合多、用户角色复杂，或需要隐藏敏感字段（如 password_hash、ssn）时，视图比字段级 GRANT 更可控、更易维护。
创建只暴露安全字段的视图：
CREATE VIEW users_public AS SELECT id, name, email, created_at FROM users;
然后只给用户授权查这个视图：
GRANT SELECT ON mydb.users_public TO 'reporter'@'localhost';
- 视图可加
WHERE过滤行（比如只显示 active 用户），字段级授权做不到这点 - 修改底层表结构不影响视图权限，但字段级授权需手动更新
GRANT语句 - 注意：用户仍可通过
SHOW CREATE VIEW看到视图定义，所以别在视图里硬编码敏感条件
验证权限是否生效的实操方法
别只信 SHOW GRANTS，一定要用目标用户身份连上去测试真实行为。
切换到该用户后尝试以下操作：
- 执行
SELECT id, name FROM users;→ 应成功（字段在授权列表内） - 执行
SELECT * FROM users;→ 报错ERROR 1142 (42000): SELECT command denied to user - 执行
SELECT id, password_hash FROM users;→ 同样报错（password_hash未被授权） - 执行
SELECT id FROM users_public;→ 若用了视图方式，应成功
字段级权限的边界很明确：没列在 GRANT SELECT(...) 括号里的字段，哪怕只是出现在 SELECT 子句里，也会触发权限拒绝。这点和 PostgreSQL 的列级权限不同，MySQL 不做“部分字段忽略”式的宽松处理。
