SHOW GRANTS FOR 'user'@'host'是唯一能获取完整、可执行授权语句的方法，可准确呈现全局、库、表、列级权限及WITH GRANT OPTION和角色继承逻辑，避免直接查mysql.user等系统表导致的权限遗漏或误判。
直接用 SHOW GRANTS FOR 'user'@'host'，这是唯一能拿到完整、可执行授权语句的方法。 任何查 mysql.user 或拼接权限字段的方式，都会漏掉库级、表级、列级权限，甚至丢掉 WITH GRANT OPTION 和角色继承逻辑。
为什么不能 SELECT * FROM mysql.user
查 mysql.user 只能看到全局权限（如 Select_priv='Y'），但真实权限往往落在具体数据库或表上。比如用户只被授予了 test_db.* 的 SELECT，这个信息根本不在 mysql.user 里，而在 mysql.db 表中。更隐蔽的是：mysql.tables_priv 和 mysql.columns_priv 里的权限字段是逗号分隔字符串（如 'Select,Insert'），不是简单的 'Y'/'N'，直接等值判断会全错。
执行 SHOW GRANTS 要注意的三个硬性条件
- 用户名和主机名必须带单引号且完整匹配，例如
'app_user'@'10.20.%'；只写'app_user'会被 MySQL 自动补成'app_user'@'%'，可能查到错误账号 - 执行者必须有
SELECT权限访问mysql系统库（5.7+ 默认限制更严，普通用户通常没这权限） - 如果目标用户不存在，会报错
ERROR 1141 (42000): There is no such grant defined for user；不是权限不足，而是账号根本没建
导出结果不能直接当迁移脚本用
SHOW GRANTS 输出的是纯授权语句，不含 CREATE USER。如果目标实例里该用户不存在，直接运行 GRANT ... TO 'u'@'h' 会报 ERROR 1133 (42000)。正确做法是：先确认用户存在，或手动补上 CREATE USER + IDENTIFIED WITH ...（尤其 MySQL 8.0+ 使用 caching_sha2_password 插件时，认证方式必须显式指定）。
容易被忽略的一点：MySQL 8.0+ 若用户通过角色获得权限，SHOW GRANTS 会输出 SET DEFAULT ROLE，这条语句依赖角色已存在——迁移前得先导出并创建对应角色，否则授权虽执行成功，但默认角色不生效。
