MySQL存储过程不能直接执行GRANT/REVOKE，必须用PREPARE+EXECUTE动态SQL绕过解析限制；DEFINER需为高权限账户且显式声明SQL SECURITY DEFINER，调用前须确保目标用户存在并注意安全风险。
存储过程不能直接授予权限，必须用动态SQL绕过权限检查
MySQL 存储过程默认以定义者（DEFINER）权限执行，但
、
这类权限语句**不允许在存储过程中直接调用**，会报错
或更明确的
。根本原因：MySQL 在解析阶段就拒绝了权限语句出现在存储过程体中。
绕过方法是使用
+
执行动态 SQL —— 此时语句在运行时解析，且只要
用户本身拥有对应权限，就能成功执行。
示例：创建一个为指定用户授予 SELECT 权限的存储过程：
DEFINER 必须是高权限账户，且不能设为 CURRENT_USER
如果存储过程的
是普通用户（比如
），即使调用者是 root，也无法执行
；反之，若
是
且该账号确实有
，过程才能成功。
常见错误配置：
省略
→ 默认是
，但若没显式声明，容易误以为是
，导致权限失败
写成
→ 执行时检查调用者的权限，而非定义者，几乎必然失败
账户密码过期、被锁、或权限已被回收（如管理员 revoke 了
）
确认方式：
调用前必须确保目标用户已存在，否则 GRANT 会静默失败
MySQL 的
语句在目标用户不存在时**不会报错，也不会自动创建用户**（除非开启
中的
已被移除，但 5.7+ 默认不创建）。结果是权限没生效，还查不到明显错误。
MySQL（Linux）
MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。
下载
安全做法是在存储过程中先检查并创建用户：
注意：
在 8.0+ 需配合认证插件（如
），否则可能因默认插件不匹配导致用户无法登录。
生产环境慎用：审计难、不可回滚、易引发权限扩散
通过存储过程批量授予权限，相当于把 DBA 级操作封装成可被任意调用者触发的黑盒。一旦参数传错（比如
或
），可能意外开放过大权限。
更隐蔽的风险：
过程日志不记录具体执行的
语句，只有“调用了 proc”
在某些版本中不是实时生效（尤其搭配代理或中间件时）
无法用
包裹权限变更 ——
是 DDL，自动提交，不可回滚
真正需要自动化授权的场景，建议改用外部脚本（Python/Shell）+ 最小权限账号 + 审计日志 + 参数白名单校验，而不是塞进 MySQL 存储过程里。
GRANTREVOKEERROR 1064 (42000): You have an error in your SQL syntaxERROR 1227 (42000): Access denied; you need (at least one of) the SUPER privilege(s) for this operationPREPAREEXECUTEDEFINERDELIMITER $$
CREATE PROCEDURE grant_select_on_db(
IN target_user VARCHAR(32),
IN target_host VARCHAR(60),
IN db_name VARCHAR(64)
)
SQL SECURITY DEFINER
BEGIN
SET @sql = CONCAT('GRANT SELECT ON `', db_name, '`.* TO ''', target_user, '''@''', target_host, '''');
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;
FLUSH PRIVILEGES;
END$$
DELIMITER ;DEFINERuser@localhostGRANTDEFINER'root'@'%'GRANT OPTIONSQL SECURITY DEFINERDEFINERINVOKERSQL SECURITY INVOKERDEFINERGRANT OPTIONSELECT DEFINER FROM mysql.proc WHERE name = 'grant_select_on_db';GRANTsql_modeNO_AUTO_CREATE_USERSET @create_user = CONCAT('CREATE USER IF NOT EXISTS ''', target_user, '''@''', target_host, ''' IDENTIFIED BY ''temp_pass''');
PREPARE stmt FROM @create_user;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;IDENTIFIED BYAUTHENTICATION_PLUGIN = 'caching_sha2_password'target_user = '%'db_name = '*'GRANTFLUSH PRIVILEGESSTART TRANSACTIONGRANT