XtraBackup在MySQL 8.0+中必需的最小权限是：RELOAD和LOCK TABLES（须显式授予具体库，如ON app_db.）、BACKUP_ADMIN与REPLICATION CLIENT（ON .*）、PROCESS（可选但推荐）；CREATE/DROP/ALTER等权限明确不需要。
XtraBackup 物理备份必须用专用账号，且不能简单套用 GRANT ... ON *.* —— MySQL 8.0+ 下多数权限已降级为库级，LOCK TABLES、RELOAD 等在全局授权时实际失效，备份会卡在 FTWRL 或直接报错。
哪些权限是真正必需的（MySQL 8.0+）
不是所有文档里写的权限都得给，尤其要警惕过时资料中仍写 SUPER 或 ON *.* 的配置。当前最小可行集如下：
-
RELOAD：用于执行FLUSH TABLES WITH READ LOCK（MyISAM 表或 backup-lock 失效时兜底），必须显式授予目标库，如ON `myapp`.*；ON *.*在 8.0+ 中不生效 -
LOCK TABLES：同上，需与RELOAD同级授权到具体库，否则--single-transactionfallback 时失败 -
REPLICATION CLIENT：获取 binlog 位置（xtrabackup_binlog_info生成依赖），这个仍是全局权限，可ON *.* -
BACKUP_ADMIN：MySQL 8.0 替代SUPER执行备份锁（backup-lock），必须授予，且仅支持ON *.* -
PROCESS：非必需但强烈建议，用于检测长事务阻塞，避免备份无限等待
以下权限明确不需要：CREATE、DROP、ALTER、GRANT OPTION、INSERT、UPDATE、DELETE。哪怕只多一个 DROP，也违背最小权限原则。
怎么授才真正生效（关键细节）
错误示范：GRANT RELOAD, LOCK TABLES ON *.* TO 'bkp'@'localhost' —— 这在 MySQL 8.0+ 中不会绑定任何数据库，后续执行 FLUSH TABLES WITH READ LOCK 时静默失败，xtrabackup 日志里只显示 Waiting for backup lock 卡住。
正确做法分三步：
- 先创建用户：
CREATE USER 'bkp'@'localhost' IDENTIFIED BY 'StrongPass2026!'; - 按需逐库授权（例如备份
app_db和log_db）：GRANT RELOAD, LOCK TABLES ON `app_db`.* TO 'bkp'@'localhost';GRANT RELOAD, LOCK TABLES ON `log_db`.* TO 'bkp'@'localhost';
注意：库名含短横、数字开头或关键字（如`my-app-v2`）必须用反引号包裹 - 再授全局权限：
GRANT REPLICATION CLIENT, BACKUP_ADMIN, PROCESS ON *.* TO 'bkp'@'localhost'; - 最后刷新：
FLUSH PRIVILEGES;
验证是否生效：SHOW GRANTS FOR 'bkp'@'localhost';，检查每条 GRANT 语句中的 ON 子句是否指向具体库或 *.*，且无拼写/大小写错误。
为什么 xtrabackup 会报 “Lock wait timeout exceeded” 或卡在 “Waiting for backup lock”
这不是磁盘慢或内存小的问题，95% 是权限没配对。常见原因有：
-
BACKUP_ADMIN缺失或未FLUSH PRIVILEGES，导致 backup-lock 无法启用，自动退化为重量级FLUSH TABLES WITH READ LOCK -
RELOAD或LOCK TABLES授在*.*上，但 MySQL 8.0+ 不认，锁表操作被拒绝，xtrabackup 又不报明确错误，只死等 - 目标库存在 MyISAM 表，而对应库没授
RELOAD+LOCK TABLES，fallback 路径走不通 - 用户 host 匹配错误，比如用
'bkp'@'127.0.0.1'连接，但权限只给了'bkp'@'localhost'（二者在 MySQL 中不等价）
最简排查命令：mysql -ubkp -p -e "FLUSH TABLES WITH READ LOCK;"，如果报 Access denied，说明 RELOAD 或 LOCK TABLES 没生效，立刻回看授权语句。
最容易被忽略的是：MySQL 8.0+ 的权限模型变化不是“兼容升级”，而是行为断裂。你照着 5.7 文档抄的 GRANT ... ON *.*，在 8.0+ 里大概率只是看起来成功了，其实什么都没绑上。
