微服务最小特权模型需基于真实SQL流量精确授权：先开general_log采集表与操作类型，再用角色封装表级权限，限定主机段（如10.100.30.%），禁用%、ALL PRIVILEGES等高危配置，并显式设置DEFAULT ROLE。
直接给微服务账号开 GRANT SELECT ON mydb.* TO 'svc'@'%' 是最常见也最危险的权限配置——它既放开了所有表（包括日志、审计、配置等敏感表），又允许任意 IP 连接，等于把数据库大门焊死在“裸奔”状态。
怎么确认微服务真实需要哪些表和操作
别猜，看流量。在测试或预发环境开启 general_log，跑通典型链路（如下单、查订单、更新库存），再从日志里提取真实访问的表名和语句类型：
- 开日志：
SET GLOBAL general_log = ON;，日志写入mysql.general_log - 查 SELECT 涉及的表：
SELECT DISTINCT SUBSTRING_INDEX(SUBSTRING_INDEX(argument, ' ', 3), ' ', -1) FROM mysql.general_log WHERE argument LIKE 'SELECT %' AND argument NOT LIKE '%information_schema%'; - 同理查
INSERT、UPDATE、DELETE操作涉及的表，过滤掉系统库和非业务库 - 注意：
general_log仅用于短时诊断，上线后必须关闭，否则影响性能
为什么必须用角色（ROLE）而不是直接 GRANT
MySQL 8.0 的角色不是语法糖，是微服务权限批量管控的基础设施。多个服务共用一类权限（比如都只读 orders 和 users 表），靠角色才能避免重复授权、漏回收、改权限要逐个用户操作。
MySQL8 CRM Schema Design Expert
下载
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
- 建角色：
CREATE ROLE 'order_reader', 'inventory_writer'; - 授表级权限（不带列）：
GRANT SELECT ON mydb.orders TO 'order_reader';，GRANT INSERT, UPDATE ON mydb.inventory TO 'inventory_writer'; - 绑定用户并设默认角色：
GRANT 'order_reader' TO 'svc_order'@'10.100.30.%'; SET DEFAULT ROLE 'order_reader' TO 'svc_order'@'10.100.30.%'; - 关键点：
SHOW GRANTS FOR 'svc_order'@'10.100.30.%'不显示角色权限，得用SHOW GRANTS FOR 'svc_order'@'10.100.30.%' USING 'order_reader';或登录后执行CURRENT_ROLE()
Docker 环境下如何安全初始化权限
容器启动时不能依赖人工执行 SQL，要用初始化脚本自动创建用户和角色。但脚本生效有前提条件：
- 脚本路径必须是
/docker-entrypoint-initdb.d/下的.sql文件（如/docker-entrypoint-initdb.d/setup-perms.sql） - 容器首次启动且
MYSQL_ROOT_PASSWORD已设置，脚本才会执行 - 脚本中必须显式创建用户、建角色、授权、设默认角色，顺序不能错；例如：
CREATE USER 'svc_order'@'10.100.30.%' IDENTIFIED BY 'xxx'; CREATE ROLE 'order_reader'; GRANT SELECT ON mydb.orders TO 'order_reader'; GRANT 'order_reader' TO 'svc_order'@'10.100.30.%'; SET DEFAULT ROLE 'order_reader' TO 'svc_order'@'10.100.30.%'; - 禁止在脚本里用
%或localhost作为 host；K8s 场景推荐 CIDR 格式：'svc_order'@'10.100.0.0/255.255.0.0'（MySQL 8.0+ 支持）
最容易被忽略的是：角色权限不会自动激活，SET DEFAULT ROLE 这一步漏掉，服务一连上就是空权限；还有就是初始化脚本执行时，mysql 系统库尚未完全就绪，某些语句（如对 mysql.role_edges 的操作）可能失败，建议拆成多个小脚本或加简单重试逻辑。
