MySQL 5.7位运算符仅支持基础按位计算，无法封装复杂业务语义（如“任意两个权限”或“安全等级兼容性”），必须借助DETERMINISTIC自定义函数实现可命名、可参数化、可复用的权限逻辑，且函数须纯计算型、禁用DML/临时表/事务。
为什么不能直接用内置位运算做复杂权限逻辑
MySQL 5.7 的 &、|、~ 等操作符只能做基础按位计算，没法封装业务语义。比如“判断用户是否拥有‘读+写+删除’中任意两个权限”，或者“检查某角色是否兼容当前会话的最小安全等级”——这类逻辑写在 SQL 里又长又难维护，还无法复用。
真正需要的是可命名、可参数化、可嵌套调用的逻辑单元，也就是自定义函数（FUNCTION）。但要注意：MySQL 5.7 不允许函数内执行 DML 或访问临时表，也不能显式开启事务，所以权限校验类函数必须是纯计算型。
创建权限位校验函数的关键限制
在 MySQL 5.7 中创建 FUNCTION 做权限位运算，必须绕过几个硬性限制：
- 函数体必须用
DETERMINISTIC标记（即使它只依赖输入参数），否则创建失败； - 不能在函数里调用存储过程，也不能用
SELECT ... INTO赋值给变量（除非目标是用户变量@var，但不推荐）； - 所有逻辑必须收束在
RETURN表达式中，或用SET+RETURN组合； - 位掩码常量建议用参数传入，而不是硬编码——否则改一个权限位就得重装函数。
示例：一个判断“是否至少启用指定掩码中任意一位”的函数：
CREATE FUNCTION has_any_bit(roles BIGINT UNSIGNED, mask BIGINT UNSIGNED) RETURNS TINYINT(1) DETERMINISTIC BEGIN RETURN (roles & mask) != 0; END;
如何安全地封装“多权限组合校验”逻辑
真实业务中常见需求不是“有没有某权限”，而是“是否满足策略组合”。比如安全策略要求：必须同时有 READ 和 WRITE，且不能有 ADMIN。这类逻辑如果全堆在应用层或 SQL WHERE 里，极易出错。
win可用的mysql指令skill
下载
安装、修复、更新或打包一个基于 Python 和 PyMySQL 实现的 Windows `mysql` 命令。适用于用户希望在 PowerShell/CMD 中输入 `mysql` 时重定向到 Python 实现、需要交互式输入 MySQL 连接信息、需要同步到当前用户本地 bin 目录，或需要将该能力封装成可公开复用的 Codex skill。
可行做法是分层封装：
- 底层函数只做原子操作：如
has_all_bits()、has_no_bits()、count_enabled_bits()； - 上层用 SQL 表达式组合调用，例如：
has_all_bits(roles, 3) AND has_no_bits(roles, 8)； - 避免在函数里做字符串解析或查表——MySQL 5.7 函数不支持动态 SQL，也无法访问除参数外的任何外部数据；
- 注意参数类型：用
BIGINT UNSIGNED而非INT，防止高位溢出导致负数误判（比如1 在 signed INT 下是负值）。
一个典型的安全等级校验函数：
CREATE FUNCTION meets_min_level(roles BIGINT UNSIGNED, min_level TINYINT)
RETURNS TINYINT(1) DETERMINISTIC
BEGIN
DECLARE required_mask BIGINT UNSIGNED DEFAULT 0;
CASE min_level
WHEN 1 THEN SET required_mask = 1; -- READ only
WHEN 2 THEN SET required_mask = 3; -- READ | WRITE
WHEN 3 THEN SET required_mask = 7; -- READ | WRITE | DELETE
ELSE SET required_mask = 0;
END CASE;
RETURN (roles & required_mask) = required_mask;
END;EXECUTE 权限和 SHOW_ROUTINE 缺一不可
即使函数创建成功，普通用户也默认无权调用——MySQL 5.7 对函数执行权限管控极严：
- 必须显式执行：
GRANT EXECUTE ON FUNCTION db_name.meets_min_level TO 'appuser'@'%'; - 若想让开发人员能看函数定义（比如排查逻辑），还得补一句：
GRANT SHOW_ROUTINE ON db_name.* TO 'appuser'@'%'; - 漏掉
SHOW_ROUTINE，执行SHOW CREATE FUNCTION meets_min_level会报错：ERROR 1370 (42000): show create function command denied to user - 函数名大小写敏感（取决于
lower_case_table_names设置），授权时务必与创建时完全一致。
最易被忽略的一点：函数内部调用的其他函数，其 EXECUTE 权限也需单独授予——MySQL 不递归继承权限。
