只给SELECT权限执行mysqldump db_name会报“Access denied; you need (at least one of) the LOCK TABLES privilege(s)”，因默认需锁表保证一致性；导出视图、触发器或存储过程时还会分别报SHOW VIEW、TRIGGER、EXECUTE权限缺失错误。
mysqldump备份时SELECT权限不够会报什么错
只给SELECT权限，执行mysqldump db_name大概率失败，典型错误是：Access denied; you need (at least one of) the LOCK TABLES privilege(s) for this operation。这是因为默认模式下mysqldump会对表加读锁保证一致性，而LOCK TABLES权限没被授予。
其他常见报错还包括：Access denied; you need the SHOW VIEW privilege（导出视图时）、Access denied; you need the TRIGGER privilege（含触发器）、Access denied; you need the EXECUTE privilege（导出存储过程/函数，MySQL 8.0+对此更严格）。
这些都不是“连不上库”的问题，而是权限缺失导致中途退出——日志里可能只看到部分表导出就停了，容易误判为网络或超时问题。
--single-transaction能省掉哪些权限
对InnoDB表，加--single-transaction后可跳过LOCK TABLES，因为它依赖MVCC快照而非显式锁。但前提是：源库无长事务阻塞、事务隔离级别支持（默认REPEATABLE READ即可），且不能混用MyISAM表（该选项对MyISAM无效）。
仍不可省的权限包括：
-
SELECT：所有数据读取的基础 -
SHOW VIEW：导出视图定义必需（即使不加--views，只要库中存在视图，mysqldump也会尝试读取其定义） -
TRIGGER：导出触发器必需（--triggers默认启用） -
EXECUTE：导出存储过程/函数必需（--routines默认禁用，但若显式启用则必须） -
REPLICATION CLIENT：若需记录binlog位置（如做增量恢复），否则可不给
注意：--single-transaction不减免REPLICATION CLIENT或PROCESS权限，后者仅用于调试长事务，非必需。
如何建一个最小权限备份账号并验证
推荐用专用账号，避免复用root或应用账号。创建与授权分两步（MySQL 8.0+强制分离）：
第一步，创建用户（限定来源IP更安全）：CREATE USER 'backup_user'@'192.168.1.%' IDENTIFIED BY 'strong_pass';
第二步，授最小集权限（以导出app_db为例，含视图和触发器，不用--single-transaction）：GRANT SELECT, LOCK TABLES, SHOW VIEW, TRIGGER ON app_db.* TO 'backup_user'@'192.168.1.%';
若还需导出存储过程：GRANT EXECUTE ON app_db.* TO 'backup_user'@'192.168.1.%';
验证是否生效：SHOW GRANTS FOR 'backup_user'@'192.168.1.%';
再实际跑一次dump测试：mysqldump --databases app_db -u backup_user -p -h 192.168.1.100 > test.sql
关键检查点：输出文件开头是否有CREATE DATABASE、是否包含视图CREATE VIEW语句、是否有DELIMITER块（代表存储过程被导出）。漏了就说明对应权限没给到位。
恢复时权限要求和DEFINER陷阱
导入（mysql命令执行SQL文件）需要的是目标库的写权限，和备份账号无关。常用权限有：CREATE（建库/表）、INSERT（插数据）、DROP（删旧表）、ALTER（改结构）、INDEX（建索引）。
最容易被忽略的是DEFINER问题：如果导出的视图/函数里写着DEFINER='sys'@'localhost'，而目标库没有这个用户，导入会报错The user specified as a definer does not exist。
解决方法是在备份时加--skip-definer：mysqldump --single-transaction --routines --triggers --skip-definer --databases app_db -u backup_user -p > backup.sql
这样所有DEFINER会被替换为当前执行导入的用户，避免依赖源库用户体系。但要注意：这会改变对象执行时的权限上下文，敏感操作（如访问系统表）可能失效，需结合业务逻辑评估。
