导出用户权限的正确方式是用 mysqldump 导出 mysql 系统库中 user、db、tables_priv 等权限表，并手动清理 authentication_string 等敏感字段；导入前需调整 sql_mode、分离 CREATE USER 与 GRANT、验证版本兼容性，且必须执行 FLUSH PRIVILEGES 并用实际账号测试连接与权限。
导出所有用户权限的正确方式是用 mysqldump 配合 --no-data --skip-triggers
直接查 mysql.user 或 mysql.db 表再拼 SQL 是危险且不完整的——MySQL 8.0+ 的角色、动态权限（如 APPLICATION_PASSWORD_ADMIN）、列级权限、存储过程权限等都不会被覆盖。官方推荐路径是导出 mysql 系统库的权限相关表结构 + 数据，但只取权限部分。
实际操作中更稳妥的是用 mysqldump 导出权限元数据表，并过滤掉密码哈希和主机 wildcard 冲突风险：
-
mysqldump -u root -p --no-data mysql user db tables_priv columns_priv procs_priv proxies_priv：先导出建表语句，确认字段兼容性 -
mysqldump -u root -p --skip-triggers --compact --skip-extended-insert mysql user db tables_priv columns_priv procs_priv proxies_priv > grant_backup.sql：导出可读性强、便于人工检查的单行 INSERT - 导出后务必手动删掉
user表中的authentication_string和password_last_changed字段值（保留 NULL 或空字符串），否则导入会覆盖目标实例的密码策略
导入前必须停用 sql_mode=NO_AUTO_CREATE_USER 并检查 MySQL 版本兼容性
MySQL 5.7 默认启用 NO_AUTO_CREATE_USER，而导出的 GRANT 语句若含 IDENTIFIED BY 会报错 ERROR 1290 (HY000): The MySQL server is running with the --skip-grant-tables option 类似提示——其实不是跳过权限表，而是该 sql_mode 禁止在 GRANT 中隐式创建用户。
解决方法分两步：
- 导入前执行
SET sql_mode=(SELECT REPLACE(@@sql_mode,'NO_AUTO_CREATE_USER',''));（MySQL 5.7.21+ 支持） - 或改用
CREATE USER IF NOT EXISTS+GRANT分离写法：先从grant_backup.sql中提取所有CREATE USER语句（grep 'CREATE USER'），单独执行；再执行其余GRANT语句 - MySQL 8.0 导出的脚本不能直接导入 5.7：
password_history、password_reuse_interval等字段不存在，需提前 sed 删除对应列和值
用 SELECT ... INTO OUTFILE 手动拼 SHOW GRANTS 脚本仅适合简单场景
如果只要快速重建几个核心账号（比如 app_user@'%'、backup@'10.0.0.%'），比 dump 系统表更轻量的方式是生成标准 GRANT 语句：
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
SELECT CONCAT('SHOW GRANTS FOR ''',user,'''@''',host,''';')
FROM mysql.user
WHERE user NOT IN ('mysql.infoschema','mysql.session','mysql.sys')
AND host != 'localhost';把结果复制进客户端逐条执行，再用 sed 's/^Grants for /-- /' | sed 's/$/;/' 整理成可执行脚本。但注意：
-
SHOW GRANTS不返回角色绑定关系（SET DEFAULT ROLE）、资源组权限、密码历史策略 - 输出中若含
IDENTIFIED WITH caching_sha2_password AS '$A$...'，导入时需确保目标实例已加载对应认证插件，否则报错ERROR 1410 (42000): You are not allowed to create a user with GRANT - 该方式无法还原
INFORMATION_SCHEMA级别权限（如SELECT ON INFORMATION_SCHEMA.STATISTICS），因为SHOW GRANTS不显示这类权限
权限导入后必须执行 FLUSH PRIVILEGES 且验证连接而非仅看语句是否成功
即使所有 GRANT 语句都返回 Query OK，权限也不会立即生效——MySQL 权限缓存不会自动刷新。漏掉这步会导致新用户连得上但执行 SELECT 报 ERROR 1142 (42000): SELECT command denied。
验证要点很具体：
- 不要只用
root用户验证，要用刚导入的用户账号（如mysql -u app_user -p -h 127.0.0.1）实连测试 - 对多主机账号（如
dev_user@'192.168.1.%'），必须从对应网段 IP 连接，不能只测localhost - 若目标实例开启了
require_secure_transport=ON，而导出账号没配REQUIRE SSL，连接会直接拒绝，此时要补ALTER USER ... REQUIRE SSL
真正麻烦的从来不是导出或导入语句本身，而是权限生效路径依赖于客户端连接方式、主机解析顺序、SSL 配置、甚至 PAM 插件状态——这些细节不会出现在任何一条 GRANT 语句里。
