SHOW GRANTS FOR 'user'@'host' 是唯一可靠方式，因 mysql.user 表在 MySQL 8.0+ 中仅存极少数全局权限且不包含库/表/列级、角色继承及动态权限；漏写 @'host' 或引号错误会报错；角色权限需单独用 SHOW GRANTS FOR ROLE 查询。
直接执行 SHOW GRANTS FOR 'user'@'host' 是唯一可靠方式，其他方法（如查 mysql.user）必然漏权，尤其在 MySQL 8.0+ 环境下。
为什么不能只查 mysql.user 表
MySQL 8.0+ 中 mysql.user 表仅保留极少数全局权限字段（如 Select_priv），且值为 'Y'/'N' 字符串，无法反映实际操作能力；它完全不包含库级（mysql.db）、表级（mysql.tables_priv）、列级、角色继承或动态权限。执行 SELECT * FROM mysql.user WHERE User = 'appuser' 看到的只是“有没有全局 SELECT 权”，不是“能不能查 mydb.users”。
SHOW GRANTS FOR 必须写全 'user'@'host'
漏掉 @'host' 或用错引号会直接报错：
-
SHOW GRANTS FOR 'api_user';→ 报错ERROR 1141 (42000): There is no such grant defined -
SHOW GRANTS FOR "api_user"@'localhost';→ 语法错误（双引号非法） - 正确写法只有：
SHOW GRANTS FOR 'api_user'@'localhost';或SHOW GRANTS FOR 'api_user'@'10.20.30.%';
主机名必须和 mysql.user 表中存储的完全一致（包括通配符 % 和下划线 _ 的语义），否则匹配失败。
角色权限不会自动展开，需单独查
SHOW GRANTS FOR 'dev'@'%'; 输出里如果出现 GRANT ROLE 'analyst' TO 'dev'@'%'，这只是说明角色被赋予了，不代表你能看到该角色内含的 SELECT、EXECUTE 等实际权限：
- 先确认角色是否激活：
SELECT ROLE_NAME FROM INFORMATION_SCHEMA.ENABLED_ROLES; - 再查角色本身：
SHOW GRANTS FOR ROLE 'analyst';（注意单引号不能省） - 普通用户无权执行带
FOR ROLE的语句，需高权限账号操作
忽略这一步，就等于只看了“权限的目录”，没翻“目录里的内容”。
批量导出所有用户权限的最小可行脚本
没有一键 SQL 能拼出全部权限，必须循环调用 SHOW GRANTS FOR。以下 shell 命令可安全落地：
mysql -Nse "SELECT CONCAT('\'', User, '\'@\'', Host, '\'') FROM mysql.user" | \
while read u; do
echo "-- $u" >> grants-all.sql
mysql -Nse "SHOW GRANTS FOR $u" >> grants-all.sql 2>/dev/null || \
echo "GRANT USAGE ON *.* TO $u;" >> grants-all.sql
done关键点：
-
-N去除列头，-s禁用表格格式，避免解析失败 -
2>/dev/null屏蔽无权查看用户的报错（如普通用户查 root） -
GRANT USAGE ON *.* TO ...是 fallback 占位，表示该账号存在但无显式权限——但它仍可能有库/表级权限，需另行检查mysql.db等表
真正难的不是命令怎么写，而是理解 CURRENT_USER() 和 USER() 的差异、角色是否激活、以及 host 匹配的精确性——这些细节一旦错，看到的权限快照就是假的。
