MySQL权限迁移的精准操作：如何只导出单个库的权限？
在进行数据库迁移或备份时，一个典型且精细的需求是：如何仅提取特定应用数据库（例如myapp）的用户权限，同时确保全局权限及其他数据库的授权不受影响？这个需求看似直接，但在实际操作中却存在诸多误区。许多用户的第一步就选错了工具。
mysqldump 无法导出权限，它仅处理结构与数据
首先需要澄清一个广泛存在的误解：mysqldump 工具本身并不负责导出权限信息。无论您使用 --all-databases 参数还是指定单个数据库，其默认工作范围仅限于 INFORMATION_SCHEMA 及您的业务数据库。真正的权限数据存储在哪里？它们位于 mysql 系统库的核心表中，例如 user、db、tables_priv 等。而 mysqldump 在设计上默认排除了对 mysql 系统库的访问，尤其是在使用 --skip-lock-tables 参数或连接账户权限不足的情况下，这一点会更加突出。
因此结论非常明确：即使您执行 mysqldump --databases myapp，生成的备份文件中也绝不会包含任何 GRANT 授权语句。试图依赖它来完成权限迁移，从一开始就偏离了正确路径。
正确导出单个数据库权限的方法：使用 mysql 命令查询并拼接 GRANT 语句
既然标准工具无法满足需求，那么正确的途径是什么？MySQL 并未提供“一键导出指定数据库所有权限”的官方命令，但我们可以通过组合查询手动构建。核心思路是：首先精确定位对目标数据库拥有权限的所有账户，然后仅为这些账户生成针对该数据库的授权语句。
具体操作可分为以下几个步骤：
- 第一步，定位相关账户：数据库级别的权限分配记录在
mysql.db表中。执行查询SELECT User,Host FROM mysql.db WHERE Db='myapp';，即可获取所有在myapp数据库上拥有权限的“用户名@主机”组合。 - 第二步，提取并筛选权限：针对上一步得到的每个账户，执行
SHOW GRANTS FOR 'user'@'host';。这里有一个关键注意事项：SHOW GRANTS会返回该账户所有的权限语句，可能包含全局权限或其他数据库的授权。我们必须使用grep等工具，精确筛选出只包含ON `myapp`.字样的行，否则会将无关权限一并导出，导致“权限范围溢出”。
为了方便操作，这里提供一个实用的 Shell 单行命令（执行者需要对 mysql 系统库拥有 SELECT 权限）：
mysql -Nse "SELECT CONCAT('SHOW GRANTS FOR ''',User,'''@''',Host,''';') FROM mysql.db WHERE Db='myapp'" | mysql -N | grep 'ON `myapp`'
为什么不建议直接导出并恢复 mysql.db 表？
可能有用户会思考：既然权限信息存储在 mysql.db 表中，那么直接使用 mysqldump mysql db 导出这张表数据不就可以了吗？我们强烈不建议采用此方法，其中蕴含的风险远超想象：
- 版本兼容性陷阱：
mysql.db表的结构在不同 MySQL 主要版本之间可能发生变化。例如，5.7 版本中的某些字段在 8.0 版本的新权限模型下可能已被移除或替换。跨版本直接导入表数据，极大概率会导致操作失败或引发不可预知的行为。 - 信息不完整：该表仅存储了部分权限信息。用户的密码哈希、认证插件（plugin）、账户锁定状态等关键数据存储在其他系统表中。仅恢复这一张表，会导致用户账户状态不完整、不一致。
- 主从复制风险：如果在恢复操作时未暂停服务或禁用
sql_log_bin，这些对系统表的INSERT操作会被记录到二进制日志（binlog）中。若环境为主从复制架构，将导致主从节点间的权限信息出现混乱。 - 行为不可预测：直接导入表数据使用的是
INSERT语句，而非标准的GRANT命令。这可能会绕过 MySQL 内部的一些权限校验和缓存刷新机制，导致旧权限残留、大小写敏感问题等难以排查的异常情况。
安全导出与可重复执行的权限脚本方案
最稳妥、最专业的做法，是生成纯净的、可重复执行的 GRANT 和 REVOKE SQL 语句脚本，而非直接操作系统表的原始数据。推荐的操作流程如下：
- 多表联合查询确保完整性：权限信息可能分布在多个系统表中，如
mysql.db（数据库级）、mysql.tables_priv（表级）、mysql.procs_priv（存储过程/函数级）等。为确保权限导出完整无遗漏，需要从这些表中联合查询，并拼接出最小粒度的授权语句。 - 使用 SHOW GRANTS 并严格过滤：可以编写一个简单的 Shell 循环脚本。首先查询出目标数据库的账户列表，然后为每个账户获取其完整的授权语句，最后使用
sed或awk进行精准过滤。例如：mysql -Nse "SELECT User,Host FROM mysql.db WHERE Db='myapp'" | while read u h; do mysql -Nse "SHOW GRANTS FOR '$u'@'$h'" | grep 'ON `myapp`'; done - 警惕 WITH GRANT OPTION 权限：在生成的授权语句中，务必仔细检查是否包含
WITH GRANT OPTION子句。该选项意味着被授权的用户可以将权限再次授予他人，影响范围较大，但在迁移过程中很容易被忽略。
归根结底，真正的挑战不在于“导出”这个动作本身，而在于如何确保“仅导出目标数据库的权限、仅涉及相关账户、不夹带任何意外授权”。遗漏 tables_priv 表中的列级权限，或者忽略了存储过程、函数定义者（DEFINER）相关的权限，都可能在迁移完成后导致应用程序功能出现隐蔽的异常。精细化的数据库权限管理，始终是一项需要高度细致的工作。
