纯bash+mysql可完成轻量级权限校验：用mysql -N -s -e执行SQL，强制IFS=$'\t'解析；禁止变量拼接防注入；用CHAR_LENGTH(authentication_string)
如何用 bash + mysql 命令做轻量级权限校验
CI/CD 流水线里不值得引入 Yearning 或 Python ORM，纯 shell 就能完成核心校验。关键不是“能不能跑”，而是“跑完敢不敢放行”。mysql -N -s -e 是唯一可靠入口：-N 去掉列名，-s 禁用表格对齐，输出是干净的制表符分隔文本，方便后续 while IFS=$'\t' read 解析。
常见错误现象：脚本用 mysql -e "SELECT ..." | grep -q 'Y'，结果因字段对齐空格或列名干扰误判；或用户名含空格导致 read u h 字段错位——必须强制 IFS=$'\t'。
- 所有 SQL 条件写死在语句里，禁止拼接变量，防注入（例如直接写
WHERE Host != 'localhost'，别用"WHERE Host != '$host'"） - 检查高危权限时，用
CHAR_LENGTH(authentication_string) 判定弱密码，比 <code>authentication_string = ''更兼容 MySQL 5.7 的 hash 截断 - 检测到
Super_priv = Y且Host = '%'，立即echo "CRITICAL: wildcard super user"并exit 1，让流水线中断
为什么不能用 mysqldump 导出 user 表做离线分析
看似方便，实则埋雷：mysqldump mysql user 默认不导出 authentication_string 字段——它被标记为 BINARY 类型，mysqldump 会跳过。更糟的是，生成的 INSERT 语句中 User 和 Host 值会被单引号包裹，后续用 grep 或 awk 解析时极易因引号嵌套失败。
性能影响也明显：dump 全表再解析比直连查快照慢 3–5 倍，尤其当 mysql.user 因插件扩展（如 Percona Server 的额外字段）变大后，延迟更不可控。
- 替代方案：用
SELECT ... INTO OUTFILE '/tmp/user_check.txt'写临时文件，权限校验完立即rm - 若需跨平台兼容，改用
SELECT ... FROM mysql.user WHERE ... INTO DUMPFILE（注意：DUMPFILE 不加换行、无分隔符，只适合单行结果）
怎样让权限校验脚本匹配真实连接行为
权限是否生效，取决于 MySQL 实际匹配的 User@Host 元组。脚本里查 'app'@'10.0.1.%'，但应用连的是 'app'@'10.0.1.123'，而该账号根本没被创建——这种错配在自动化部署中高频发生，却常被忽略。
必须在校验逻辑里模拟匹配规则：先查 SELECT User, Host FROM mysql.user，再用实际应用配置中的 IP（如环境变量 APP_DB_HOST=10.0.1.45）反向验证是否存在精确或通配匹配项。
- 用正则模拟 Host 匹配：MySQL 的
%等价于.*，_等价于.，但脚本里别真用sed替换，改用mysql -e "SELECT 1 FROM mysql.user WHERE User='app' AND Host LIKE '10.0.1.%'"更准 - 避免
GRANT ALL PRIVILEGES ON *.*类模糊授权出现在校验白名单里——它违反最小权限，脚本应直接报REJECT: wildcard grant on *.* - MySQL 8.0+ 的角色权限需额外查
mysql.role_edges和mysql.role_routine_grants，仅查mysql.user会漏掉角色继承的权限
权限变更后如何确认新权限已对新建连接生效
执行 GRANT 后，当前连接权限不会刷新——它沿用连接建立时加载的快照。所以校验脚本不能复用已有连接，必须新开一个连接去验证。
最简验证法：用校验脚本自身生成一条测试 SQL，比如 SELECT COUNT(*) FROM information_schema.SCHEMATA，然后用目标账号直连执行。失败即说明权限未生效或 host 不匹配。
- 不要依赖
FLUSH PRIVILEGES：MySQL 8.0+ 中GRANT后自动重载，手动刷反而掩盖语法错误（如权限名拼错） - 测试连接必须显式指定
-h和-P，模拟真实应用行为；本地测试别用localhost（触发 socket 连接），改用127.0.0.1（走 TCP） - 若校验脚本运行在容器内，注意 DNS 解析：
Host = 'ci-runner'在数据库里存在，但容器里可能解析不到该主机名，导致连接失败误判为权限问题
Access denied，90% 是 host 字符串没对上，而不是权限没给够。 
