ETL账号必须禁用SUPER和REPLICATION权限，仅授予源库SELECT、SHOW VIEW、EXECUTE及目标库限定DDL/DML权限，并绑定IP段、强制重连以确保权限生效。
ETL账号必须禁用SUPER和REPLICATION权限
ETL任务常被误当成“高权运维角色”，结果授了SUPER或REPLICATION CLIENT，导致它能KILL线程、STOP SLAVE、甚至动态关闭从库复制。这不是权限“够用”，而是越界失控。
真实场景中，ETL只需读源库 + 写目标库，不参与主从协调。所以必须显式REVOKE这两类权限：
REVOKE SUPER ON *.* FROM 'etl_user'@'10.20.30.%';REVOKE REPLICATION CLIENT, REPLICATION SLAVE ON *.* FROM 'etl_user'@'10.20.30.%';- 即使创建时没授，也要
REVOKE——MySQL 8.0+ 默认角色可能隐式携带
读源库只给SELECT，但要覆盖视图、函数和存储过程调用
ETL常通过SELECT * FROM view_sales_daily或CALL etl_load_orders()拉取数据，光有表级SELECT不够。
需额外授权：
GRANT SELECT ON source_db.* TO 'etl_user'@'10.20.30.%';-
GRANT SHOW VIEW ON source_db.* TO 'etl_user'@'10.20.30.%';（否则查视图报ERROR 1142 (42000): SELECT command denied to user） GRANT EXECUTE ON PROCEDURE source_db.etl_load_orders TO 'etl_user'@'10.20.30.%';
注意：SHOW VIEW是隐式写权限风险点，仅限ETL等必要场景开启，且不能授予WITH GRANT OPTION。
写目标库要限制DDL范围，避免误删重建
ETL写入常含TRUNCATE TABLE、DROP TABLE IF EXISTS、CREATE TABLE，但不应允许DROP DATABASE或跨库ALTER。
MySQL8 CRM Schema Design Expert
下载
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
安全做法是分层授权：
- 只对目标库
target_ods授SELECT, INSERT, UPDATE, DELETE, CREATE, DROP, ALTER, INDEX - 明确
REVOKE DROP ON *.* FROM 'etl_user'@'10.20.30.%';（防止删其他库） - 如用分区表或临时表，可单独授
CREATE TEMPORARY TABLES，但禁用FILE（防导出敏感文件）
别用GRANT ALL ON target_ods.*——它会顺带带上EVENT、TRIGGER等非ETL所需权限。
权限变更后老连接不生效，ETL调度器要强制重连
改完权限执行FLUSH PRIVILEGES，但ETL工具（如Airflow的MySQLOperator、DataX）若复用连接池，仍沿用旧权限缓存，导致Access denied报错却查不到原因。
验证与修复步骤：
- 在ETL服务器上手动测试：
mysql -u etl_user -p -e "SELECT USER(), CURRENT_USER(); SELECT COUNT(*) FROM source_db.orders LIMIT 1;" - 检查
Threads_connected是否回落，确认旧连接已释放 - Airflow中设置
pool_recycle=3600，或在每次任务前加SET SESSION wait_timeout = 60;促发重连 - 避免用
host='%'，优先绑定ETL调度节点IP段，如<code>'etl_user'@'10.20.30.0/255.255.255.0'
最易忽略的是：ETL脚本里硬编码了连接串且未配置重试逻辑，权限一调，整条链路静默失败——得靠日志里ERROR 1142或ERROR 1045反向定位。
