DBeaver本身不创建数据库账号，仅作为客户端执行SQL；账号须由管理员在数据库服务端用CREATE USER/GRANT创建，再通过DBeaver用新凭证连接验证权限。
DBeaver 本身不管理数据库账号，它只是客户端工具。你看到的“给 DBeaver 建账号”，实际是为它所连接的数据库创建专用登录凭证——这个动作发生在数据库服务端，不是在 DBeaver 里点几下就能生成的。
为什么不能在 DBeaver 里新建数据库账号
DBeaver 没有执行 CREATE USER 或 GRANT 的权限，它只负责把你的 SQL 请求发给数据库、把结果画出来。账号创建必须由具备管理员权限的用户（比如 SYSDBA、postgres、root）在数据库中执行。DBeaver 只是那个“帮你敲命令、看回显”的窗口。
达梦/Oracle/PostgreSQL 等常见库建应用账号的实操路径
以达梦为例（其他库逻辑类似，仅语句微调）：
- 先用
SYSDBA账号连进 DBeaver（或命令行） - 执行建用户语句：
CREATE USER app_user IDENTIFIED BY 'MyPass@2026'; - 授基本权限：
GRANT CONNECT, RESOURCE TO app_user; - 如需查特定表，再加：
GRANT SELECT ON schema_name.table_name TO app_user; - 确认后，就可以在 DBeaver 新建连接时，把主机、端口、用户名填成
app_user，密码填MyPass@2026
注意：严禁在生产环境让应用直接使用 SYSDBA；RESOURCE 角色已包含基本对象操作权，但不包括 DBA 权限，够用且安全。
MySQL 和 PostgreSQL 的关键差异点
MySQL 中账号和主机绑定更严格：
-
CREATE USER 'app_user'@'%' IDENTIFIED BY 'P@ssw0rd';——@'%'表示允许从任意 IP 连，但若走 SSH 隧道，应写@'localhost'（因为对达梦/MySQL 来说，DBeaver 经隧道访问等价于本地连接） - PostgreSQL 不区分主机段，但
pg_hba.conf必须放行对应 IP 和认证方式（如host all app_user 127.0.0.1/32 md5） - 两者都建议用强密码，避免含空格或未转义的特殊字符（如
@、/在 JDBC URL 里需编码）
连上之后怎么验证账号权限是否最小化
建完账号别急着切应用，先在 DBeaver 里用新账号连一次，做三件事验证：
- 执行
SELECT * FROM USER_TAB_PRIVS;（达梦/Oracle）或\du+（PostgreSQL）看权限范围 - 尝试
SELECT业务表，确认能读；尝试DELETE FROM sysobjects;（达梦）或DROP DATABASE;（PostgreSQL），确认被拒 - 检查 DBeaver 左侧数据库树：如果只能看到自己被授权的 schema 和表，说明隔离成功；如果还能展开
SYSAUDITOR或information_schema下大量系统表，说明权限收得不够紧
最容易被忽略的是：很多团队建了应用账号，却没回收 CREATE ANY TABLE 或 ALTER SYSTEM 这类高危权限，而 DBeaver 的图形界面不会主动提醒你这些隐性风险——得靠你自己查视图、试操作、比对文档。
