只读复制账号在主库写入，说明权限模型被误解：复制账号本身不参与业务操作，但若被误用于主库连接，且拥有SUPER等高危权限，即可绕过DML限制；必须显式回收INSERT/UPDATE/DROP/SUPER等权限，并配合网络隔离与最小host匹配。
只读复制账号在主库执行写入，说明它根本没被限制住——不是账号问题，是权限模型理解错了。
为什么只给SELECT权限的账号还能在主库写入？
MySQL 的权限检查发生在语句执行前，但「复制账号」本身不参与业务查询，它的权限只影响自己发起的连接。如果这个账号被应用、监控脚本或 DBA 误用于主库连接（比如配置写错、环境变量污染、连接池复用），哪怕只授了 SELECT，只要它同时拥有 SUPER 或 SYSTEM_VARIABLES_ADMIN 权限，就能绕过所有 DML 限制。
- 常见误操作：用
CREATE USER 'repl'@'%' IDENTIFIED BY 'xxx'; GRANT REPLICATION SLAVE ON *.* TO 'repl'@'%';后，忘了显式回收高危权限 - 隐患点：MySQL 5.7 默认创建用户时可能隐含
USAGE+ 全局SELECT（尤其通过某些 GUI 工具或旧版脚本） - 验证方式：用该账号登录主库后执行
SHOW GRANTS FOR CURRENT_USER();，确认输出里没有INSERT、UPDATE、DROP、SUPER、SYSTEM_VARIABLES_ADMIN
必须显式回收的 4 类权限
仅靠「不授予写权限」不够，老账号、迁移账号、复制账号都可能残留隐式权限。必须主动 REVOKE：
REVOKE INSERT, UPDATE, DELETE, DROP, CREATE, ALTER, INDEX, LOCK TABLES, CREATE VIEW, SHOW VIEW, TRIGGER, EXECUTE ON *.* FROM 'repl'@'%';-
REVOKE SUPER ON *.* FROM 'repl'@'%';（最关键，否则可 SET SESSION read_only=0） -
REVOKE REPLICATION CLIENT, REPLICATION SLAVE ON *.* FROM 'repl'@'%';（这两个是复制必需，但必须确保不带其他权限） -
REVOKE PROCESS, FILE, SHUTDOWN ON *.* FROM 'repl'@'%';（非必要且危险，应禁用）
执行完务必 FLUSH PRIVILEGES;，否则部分权限变更不生效。
MySQL8 CRM Schema Design Expert
下载
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
主库上不能只靠账号权限，还得靠实例级只读开关
账号权限只是第一道防线。如果复制账号真连上了主库，而主库又没开 read_only，那它哪怕只有 SELECT，也能被其他有 SUPER 的连接间接利用（比如触发器、函数、事件）。所以主库本身也得加固：
- 主库必须保持
read_only = OFF（否则复制线程无法写 relay log），但这是唯一例外；其他所有非复制用途连接都应被隔离 - 真正要防的是「误连」——用网络层手段（如 iptables、proxy、RDS 白名单）禁止从库 IP 段访问主库的 3306 端口
- 若用云数据库（如阿里云 RDS），开启「主库只允许指定 IP 访问」并把复制账号的来源 IP 列入白名单，同时剔除所有应用服务器 IP
- 容器环境可在入口 proxy（如 ProxySQL、HAProxy）配置 ACL，拒绝来自从库网段的非
REPLICATION协议流量
最容易被忽略的漏洞点：host 匹配与通配符陷阱
账号权限绑定的是 'repl'@'192.168.5.%' 这样的 host，但 MySQL 的 host 匹配优先级高于你想象：
- 如果存在
'repl'@'%'和'repl'@'192.168.5.%'两个账号，MySQL 会选最长匹配（即后者），但权限是叠加的——只要任一账号有SUPER，就全盘失效 - 检查命令：
SELECT User, Host FROM mysql.user WHERE User = 'repl';，删掉所有非必要 host 的重复账号 - 不要用
'repl'@'%'，哪怕测试环境也要限定 CIDR，例如'repl'@'10.100.20.%' - 注意 DNS 反解：如果主库启用了
skip_name_resolve = OFF（默认），客户端 hostname 解析失败时会 fallback 到'repl'@'%'，导致权限扩大
真正安全的复制账号，是「最小 host + 显式回收 + 网络隔离」三者缺一不可。任何一项松动，都会让只读形同虚设。
