查用户权限应使用 SHOW GRANTS，而非直接查询 mysql.user 等系统表，因其能完整展示包括列级、存储过程级在内的所有生效权限，并需指定完整用户名和主机名，如 'app_user'@'10.20.30.%'。
查用户权限要用 SHOW GRANTS，不是 SELECT 权限表
MySQL 的权限信息分散在 mysql.user、mysql.db 等系统表里，但直接查这些表容易漏掉列级、存储过程级等细粒度权限，而且不同版本字段名可能变化。最可靠的方式是用 SHOW GRANTS FOR 'username'@'host' —— 它会拼出完整的授权语句，反映当前生效的全部权限。
常见错误是只查 mysql.user 表，结果发现没权限却查不到原因：比如用户只有 SELECT 权限在某个库，但 mysql.user 里 Select_priv 是 N，实际权限藏在 mysql.db 或 mysql.tables_priv 里。
- 必须指定完整用户名+主机名，例如
'app_user'@'10.20.30.%'，不能只写'app_user'，否则报错ERROR 1141 (42000): There is no such grant defined for user 'app_user' on host '%' - 当前连接用户必须有
SELECT权限访问mysql系统库，否则SHOW GRANTS会提示Access denied - 如果用户是通过角色（role）获得权限，
SHOW GRANTS默认不显示角色继承的权限，需加FOR 'user'@'host' USING 'role_name'才能展开
导出权限到 SQL 文件，用 mysql 命令行重定向最稳
图形化工具或复制粘贴容易丢换行、漏引号，尤其权限语句含反引号和特殊字符。推荐用命令行直接导出：
mysql -u root -p -e "SHOW GRANTS FOR 'dev_user'@'localhost';" > dev_user_grants.sql
注意几个关键点：
- 导出文件开头会多一行列名（如
Grants for dev_user@localhost），手动删掉或用--skip-column-names参数避免：mysql -u root -p --skip-column-names -e "SHOW GRANTS..." > grants.sql - 如果目标用户权限来自多个主机（如
'user'@'192.168.%'和'user'@'localhost'），要分别执行并合并文件，MySQL 不支持通配符主机一次性查所有 - 导出的
GRANT语句默认不含FLUSH PRIVILEGES，导入后记得手动执行，否则权限不生效
SHOW GRANTS 输出的权限顺序和实际生效顺序无关
MySQL 按权限粒度从粗到细判断：全局 > 数据库 > 表 > 列 > 存储过程。但 SHOW GRANTS 输出顺序是按内部存储顺序排的，不是执行顺序。比如它可能先显示 GRANT SELECT ON *.*，再显示 GRANT INSERT ON mydb.*，但这不代表 SELECT 优先级更高。
真正影响权限是否生效的是「最小匹配原则」：只要有一条显式拒绝（DENY）就拒绝，否则取所有匹配项的并集。所以导出后别只看语句顺序，要人工核对是否存在冲突（比如某库被 REVOKE SELECT 过，但又在另一条语句里被 GRANT SELECT）。
- 用
SELECT查mysql.tables_priv时，Table_priv字段是逗号分隔字符串（如'Select,Insert'），而SHOW GRANTS会拆成两条独立语句，更易读 - 如果用户有
PROXY权限，SHOW GRANTS会单独列出GRANT PROXY ON ...，这个权限不会体现在其他权限语句里，容易遗漏
导出后想还原？小心 GRANT 语句里的 IDENTIFIED BY
如果原用户密码是用 CREATE USER ... IDENTIFIED BY 创建的，SHOW GRANTS 输出的语句里**不会包含密码哈希**；但如果用过 ALTER USER ... IDENTIFIED WITH ... 或旧版 SET PASSWORD，部分 MySQL 版本会在 GRANT 语句末尾附带 IDENTIFIED BY PASSWORD 'xxx' —— 这会导致导入时报错 ERROR 1827 (HY000): The password hash doesn't match the expected format。
- 安全做法是导出后手动删掉所有
IDENTIFIED BY及其后续内容，还原时单独用SET PASSWORD或ALTER USER设置密码 - 5.7.6+ 默认禁用
IDENTIFIED BY PASSWORD，但升级前创建的用户可能残留该语法，需检查 - 如果目标环境启用了
require_secure_transport，导入时得确保连接走 SSL，否则GRANT语句里的密码操作会被拒绝
SHOW GRANTS 更省时间。 
