GRANT SELECT ON view_name 失败是因为 MySQL 默认按调用者校验权限，用户需同时拥有视图及所有底层表、函数、嵌套视图的 SELECT/EXECUTE 权限；解决方法是创建视图时指定 SQL SECURITY DEFINER 并确保 DEFINER 账号权限完整，再单独授权视图。
只执行 GRANT SELECT ON db.view_name TO 'user'@'host' 往往不够，多数情况下会报 ERROR 1142 (42000): SELECT command denied to user——根本原因是 MySQL 默认按调用者（SQL SECURITY INVOKER）校验权限，用户必须同时拥有视图 *和所有底层表* 的 SELECT 权限。
为什么 GRANT SELECT ON view_name 失败？
MySQL 把视图当作独立权限对象，不继承基表权限，也不自动递归授权。常见卡点包括：
- 视图定义中引用了表
t_order、函数email_domain()或嵌套视图v_user_active，但没给用户授这些对象的SELECT或EXECUTE权限 - 用户连接时用的是
'user'@'192.168.1.100'，而授权语句写的是'user'@'%'，host 不匹配导致权限未生效 - 视图依赖的某张基表已被删，或
SHOW CREATE VIEW报错，说明视图本身已损坏 - MySQL 5.7 中若
sql_mode含NO_AUTO_CREATE_USER，可能导致GRANT语句语法报错（8.0.16+ 已修复）
如何让用户只查视图、不碰原表？
核心是切换权限检查主体：用 SQL SECURITY DEFINER 让查询以定义者身份执行，绕过调用者对基表的权限要求。前提是定义者账号真实存在且权限完整：
- 创建视图时显式指定：
CREATE SQL SECURITY DEFINER VIEW v_user_basic AS SELECT id, name, email_domain(email) FROM users - DEFINER 账号（如
'admin'@'localhost'）必须已有users表的SELECT权限，以及email_domain()的EXECUTE权限 - 之后只需一条授权：
GRANT SELECT ON mydb.v_user_basic TO 'reporter'@'%' - 验证：
SHOW GRANTS FOR 'reporter'@'%'输出里不应出现任何基表名
检查和调试的关键命令
别猜，直接查元数据和当前状态：
- 看视图安全类型：
SELECT DEFINER, SECURITY_TYPE FROM INFORMATION_SCHEMA.VIEWS WHERE TABLE_SCHEMA = 'mydb' AND TABLE_NAME = 'v_user_basic' - 看视图实际依赖哪些对象：
SHOW CREATE VIEW mydb.v_user_basic，逐行检查FROM和函数调用 - 确认用户连接 host 是否匹配：
SELECT USER(), CURRENT_USER()—— 前者是客户端声明的身份，后者才是 MySQL 实际认证用的账号 - 如果视图失效，错误通常是
ERROR 1449 (HY000): The user specified as a definer ('admin'@'localhost') does not exist，说明 DEFINER 账号被删或权限被 revoke
最易被忽略的一点：即使用了 SQL SECURITY DEFINER，如果视图定义里用了临时表、用户变量或某些不可重入函数，MySQL 可能拒绝执行或绕回 INVOKER 模式。这种情况下，SHOW CREATE VIEW 不报错，但运行时权限校验逻辑会悄悄降级。务必在目标环境实测查询行为，不能只信授权语句是否执行成功。
