SHOW GRANTS FOR 'user'@'host'是唯一可执行的权限导出方式，因其生成标准SQL语句，能完整还原库级、表级、列级等所有生效权限；直接查mysql.user或mysqldump系统库会遗漏细粒度权限且跨版本不兼容。
SHOW GRANTS 是唯一可执行的权限导出方式
别查 mysql.user 表，也别用 mysqldump mysql 导整个系统库——权限分散在 mysql.db、mysql.tables_priv 等多张表，字段结构跨版本不兼容，直接插入必然失败。真正能还原、能执行、能验证的，只有 SHOW GRANTS FOR 'user'@'host' 输出的标准 SQL 语句。
常见错误现象：导出 mysql.user 后在目标库执行 INSERT INTO mysql.user，结果用户能登录但没任何权限，甚至因 plugin 或 authentication_string 字段错位导致报错 Access denied。
- 必须对每个
'user'@'host'组合单独执行SHOW GRANTS，'app'@'10.20.%'和'app'@'localhost'是两个独立账号 - 输出中以
GRANT USAGE ON *.* TO ...开头的行可忽略——它只声明用户存在，不授实际权限 - 若原用户有
WITH GRANT OPTION，新用户也会继承该能力，迁移前需确认是否符合最小权限原则
替换用户名后必须手动过滤和修正语句
SHOW GRANTS 返回的是带引号的字符串，不能直接执行。比如输出是 GRANT SELECT ON `mydb`.* TO 'olduser'@'%';，你得把其中的 'olduser'@'%' 替成目标用户名和 host，否则会报错 ERROR 1133 (42000): Can't find any matching row in the user table。
容易踩的坑：
- 漏掉反引号或单引号嵌套错误，比如写成
GRANT ... TO "newuser"@'%'（双引号非法） - 未处理角色权限：
SHOW GRANTS不会展开角色所含权限，只输出GRANT app_reader TO 'olduser'@'%'；你得额外查mysql.role_edges并补上GRANT app_reader TO 'newuser'@'%' - 目标库缺少对应数据库或表时，
GRANT SELECT ON mydb.*会直接失败，迁移前先跑SHOW DATABASES核验，缺失则建库：CREATE DATABASE IF NOT EXISTS mydb CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_ai_ci
CREATE USER 必须显式指定认证插件
MySQL 8.0 默认用 caching_sha2_password，但很多旧客户端（如 PHP 7.2 的 mysqlnd、某些 Java 驱动）不支持。如果迁移后应用连不上，不是网络问题，大概率是认证插件不兼容。
正确做法是建用户时就锁定插件：
- 兼容旧客户端：
CREATE USER 'newuser'@'%' IDENTIFIED WITH mysql_native_password BY 'pwd'; - 若要保留
caching_sha2_password，确保目标环境客户端已升级，并在连接串里显式指定：?serverTimezone=UTC&allowPublicKeyRetrieval=true - 千万别依赖
CREATE USER 'u'@'h' FROM 'olduser'@'h'——它只复制密码哈希和 SSL 设置，**一条 GRANT 都不会带过来**
导入前必须清理目标库同名用户
直接执行导出的 GRANT 语句，大概率触发 ERROR 1396 (HY000): Operation CREATE USER failed for 'xxx'@'yyy'，因为用户已存在；更危险的是，重复 GRANT 会导致权限叠加，比如原本只有 SELECT，再执行一遍可能意外获得 INSERT。
安全操作顺序：
- 先在目标库执行
DROP USER IF EXISTS 'user'@'host';（MySQL 8.0.13+ 支持） - 若版本低于 8.0.13 或不能删用户，改用
REVOKE ALL PRIVILEGES ON *.* FROM 'user'@'host'; REVOKE GRANT OPTION ON *.* FROM 'user'@'host'; - 执行完所有
CREATE USER和GRANT后，补一句FLUSH PRIVILEGES;——虽然 8.0 大部分情况自动重载，但直连修改过权限表时，这步不可省
角色默认设置（SET DEFAULT ROLE）和 proxy 用户授权容易被忽略，一旦漏掉，新用户看似有权限，实际调用时会提示 Access denied。
