MySQL权限需按环境严格隔离：用户账号和数据库名强制带环境后缀（如app_read_dev、dev_app_db），禁止跨环境复用账号，初始化SQL须显式指定host并FLUSH PRIVILEGES；Ansible中密码须用Vault加密分环境变量，避免明文；验证时用SELECT USER(), CURRENT_USER()确认实际匹配账号。
MySQL 权限怎么按环境隔离才不串？
让开发、预发和生产环境共用一套权限逻辑，无异于埋下定时冲击波。问题的核心在于，权限必须与应用的身份和环境深度绑定，绝不能依赖“我记得这个库在开发环境能写，生产环境只能读”这类模糊记忆。毕竟，MySQL原生的CREATE USER和GRANT语句本身并不识别环境，真正的隔离，得靠刚性的命名规范和分层的配置管理来实现。
具体怎么做？关键在于把规则写进代码，而不是文档：
- 用户账号名强制带环境后缀：例如
app_read_dev、app_write_staging、app_api_prod。这不应是“最佳实践建议”，而应是部署脚本中强制执行的标准。 - 权限只授予具体数据库：数据库名同样需要环境前缀，如
dev_app_db、staging_app_db、prod_app_db。务必杜绝使用GRANT ... ON *.*这种粗放的授权方式。 - 严禁账号跨环境复用：即使是为了临时查数据，也禁止用root或同名账号登录不同环境。一次不经意的误操作，就可能把生产数据误删到开发备份里。
Ansible 怎么安全注入 MySQL 用户密码？
把密码明文写在Playbook里，堪称是最常见的“翻车”操作。虽然Ansible的mysql_user模块提供了password参数，但直接填入字符串，无异于将密码拱手送给了版本控制系统和日志文件。更安全的做法，是结合Ansible Vault对密码进行加密，并动态读取对应环境的密文变量。
这里有几个关键点：
- 密码变量按环境拆分加密：使用诸如
mysql_user_app_dev_password、mysql_user_app_prod_password这样的变量名，并确保每个都通过Vault单独加密。 - 精确配置
mysql_user模块：务必指定state: present和精确的priv权限（如"db_name.*:SELECT,INSERT"），以避免因幂等性问题导致授权遗漏。 - 优化管理连接方式：尽量避免使用
login_password在网络中传输凭证。更优的方案是，通过SSH密钥登录堡垒机，再通过本地socket连接localhost上的MySQL，从而彻底规避网络传输密码的风险。
为什么 Docker Compose 启动的 MySQL 容器权限总不对？
很多团队都遇到过这个困惑：明明在/docker-entrypoint-initdb.d/目录下放了初始化SQL，为什么容器启动后权限还是不对？原因在于，这些脚本默认以root身份执行，如果创建用户时没有严格限定host，就可能产生类似'app'@'%'这样的账号，导致在生产环境中，来自任意地址的连接都能被放行。
要堵住这个漏洞，需要在初始化脚本中做好三件事：
- 显式指定用户host：在
CREATE USER语句中，必须明确限定来源网络，例如CREATE USER 'app_dev'@'172.20.0.%'（对应Docker网络子网）。坚决不使用'app_dev'@'%'这种通配符。 - 统一认证插件：在
docker-compose.yml中，通过command: ["mysqld", "--default-authentication-plugin=mysql_native_password"]指定认证插件，防止MySQL 8默认的caching_sha2_password导致旧版应用连接失败。 - 强制刷新权限：在初始化脚本的末尾，务必加上
FLUSH PRIVILEGES;语句。在容器化场景下，权限表有时不会自动刷新，缺少这一步可能导致授权延迟生效。
权限变更后如何验证没漏配？
配置完成后，仅仅执行SHOW GRANTS FOR 'user'@'host'是远远不够的。真正的风险往往隐藏在实际连接过程中：应用连接串里配置的host是什么？DNS解析后实际连接的IP又是哪个？MySQL最终匹配用户时，是根据客户端IP还是反向解析后的主机名？这三者若有任何不匹配，之前的配置工作就可能前功尽弃。
因此，上线前的验证必须模拟真实场景：
- 执行关键查询：在目标环境中运行
SELECT USER(), CURRENT_USER();。前者显示连接时声明的身份，后者才是MySQL实际匹配到的账号。如果两者不同，就说明host匹配规则可能出了问题。 - 模拟应用连接：使用与应用完全相同的配置（主机、用户、密码），通过
mysql -h $HOST -u $USER -p命令手动连接测试。不要仅仅依赖本地socket连接的结果。 - 最终审计：上线前，务必执行一次审计查询：
SELECT user,host FROM mysql.user WHERE user LIKE 'app%';。仔细检查所有生产环境相关账号的host字段，确保其中不包含通配符（%）或开发环境的网段。
说到底，环境越复杂，对确定性的要求就越高。必须依靠命名规范、配置路径和SQL脚本中的字面量来锁定行为，而不是依赖随时可能过时的文档或口头约定。一旦开始使用变量来动态替换用户名或数据库名，就必须同步审查所有环节是否都做好了环境感知——少一个if env == 'prod'的判断，就多一分未知的风险。
