MySQL 8.0列级权限仅支持SELECT、INSERT、UPDATE、REFERENCES；DELETE等不支持，且必须显式列名、不可混用全表权限，生效需满足无冲突表级权限、不绕过视图/函数、并验证mysql.columns_priv表。
MySQL 8.0 支持列级权限，但仅限于 SELECT、INSERT、UPDATE、REFERENCES 四种操作；直接对 DELETE、ALTER、DROP 等语句做列级授权会报错或被忽略——这不是配置问题，而是语法不被接受。
列级 GRANT 的合法写法与常见错误
列级授权必须显式列出字段名，且不能和全表权限混写。例如：
GRANT SELECT (id, name, email) ON mydb.users TO 'analyst'@'%';
以下写法全部非法：
-
GRANT SELECT (id), UPDATE ON mydb.users TO 'user'@'%'—— 混用列级与全表权限 -
GRANT DELETE (status) ON mydb.orders TO 'admin'@'localhost'——DELETE不支持列级 -
GRANT SELECT (*) ON mydb.users TO 'ro'@'%'——*在括号里是语法错误
错误现象通常是 ERROR 1142 (42000) 或 ERROR 1064，注意区分：前者是权限拒绝，后者是语法解析失败。
列权限实际生效的三个前提
即使 GRANT 语句执行成功，列权限也不一定起作用，需同时满足：
- 用户没有更高优先级的全表
SELECT权限（列权限优先级高于表级，但低于显式REVOKE） - 未通过视图、存储函数、触发器间接访问基表（这些路径可能绕过列权限检查）
- 执行
FLUSH PRIVILEGES不必要，但若手动修改过mysql.columns_priv表，则必须执行
验证是否生效，不能只看 SHOW GRANTS，要查系统表：
SELECT Column_priv FROM mysql.columns_priv WHERE User='analyst' AND Host='%' AND Db='mydb' AND Table_name='users';
返回值是逗号分隔字符串，如 Select,Update，不是布尔值。
安装、修复、更新或打包一个基于 Python 和 PyMySQL 实现的 Windows `mysql` 命令。适用于用户希望在 PowerShell/CMD 中输入 `mysql` 时重定向到 Python 实现、需要交互式输入 MySQL 连接信息、需要同步到当前用户本地 bin 目录，或需要将该能力封装成可公开复用的 Codex skill。
为什么 INSERT INTO users VALUES (...) 容易失败
列级 INSERT 权限只允许向指定列插入值，但 VALUES 语法要求字段数与表结构严格匹配。如果用户只有 INSERT (name, email) 权限，却执行：
INSERT INTO users VALUES (1, 'a', 'b', 'c');
会报 ERROR 1105 (HY000): Column count doesn't match value count at row 1——根本原因是第 4 列（比如 created_at）不在授权范围内，MySQL 直接拒绝整条语句。
更安全的写法是用 SET 语法：
INSERT INTO users SET name='a', email='b';
它只涉及已授权列，不会触发字段数校验失败。
列权限 + 视图才是生产可用的掩码组合
单纯列权限只能控制“能不能读某列”，但无法脱敏（比如只显示手机号后 4 位）。真正在生产中实现列级数据保护，必须配合视图：
- 建视图时用
CONCAT(LEFT(phone,3),'****',RIGHT(phone,4))做确定性脱敏 - 视图必须用
SQL SECURITY DEFINER，并由高权限账号（如'admin'@'localhost'）定义 - 显式收回基表权限：
REVOKE SELECT ON mydb.users FROM 'analyst'@'%' - 只授视图权限：
GRANT SELECT ON mydb.v_users_safe TO 'analyst'@'%'
最容易被忽略的是：视图定义里的函数一旦遇到 NULL（如空手机号），CONCAT 会返回 NULL，整列变空。必须包裹 IFNULL(phone, '')。
