撤销 SYSTEM_VARIABLES_ADMIN 权限后，为什么 SET GLOBAL 仍能执行？
许多数据库管理员在实际运维中会遇到一个典型困惑：明明已经通过 REVOKE 命令收回了用户的 SYSTEM_VARIABLES_ADMIN 权限，为何该用户依然可以成功执行 SET GLOBAL 命令来修改全局变量？这背后的核心原因在于，MySQL 的权限体系是分层且细粒度的，SYSTEM_VARIABLES_ADMIN 并非控制全局变量修改的“唯一钥匙”。
具体来说，SYSTEM_VARIABLES_ADMIN 权限主要管控的是“修改动态全局变量”的能力。然而，MySQL 的权限设计更为复杂。例如，像 max_connections 这类关键系统变量，其修改不仅需要 SYSTEM_VARIABLES_ADMIN，还依赖于 CONNECTION_ADMIN 权限（或在早期版本中依赖已被拆分的 SUPER 权限）。此外，部分变量如 sql_mode 允许在会话级别进行设置，这在一定程度上绕过了对全局权限的严格检查，从而可能导致权限回收后的“意外”修改行为。
最需要警惕的管理盲点是：MySQL 不会因为您撤销了某个用户的权限，就自动将其此前通过 SET GLOBAL 修改过的变量值“恢复默认”。权限撤销仅仅是锁上了未来再次修改的大门，而历史变更所产生的影响，仍会在系统中持续生效。这就好比收回了某人的仓库钥匙，但仓库里被他之前搬进去的物品，并不会自动消失。
如何确认哪些全局变量已被手动修改过？
那么，如何有效发现系统中那些“隐藏”的、非默认的变量设置呢？遗憾的是，MySQL 自身并未提供内置的详细审计日志，来记录“谁在何时修改了哪个全局变量”。不过，管理员可以通过对比分析法来识别这些“非默认”状态：
- 首先，查询当前关键系统变量的实时值：
SELECT VARIABLE_NAME, VARIABLE_VALUE FROM performance_schema.global_variables WHERE VARIABLE_NAME IN ('max_connections', 'wait_timeout', 'innodb_buffer_pool_size'); - 接着，需要获取编译时的默认值作为基准参考。可以在 MySQL 服务未运行时，执行
mysqld --verbose --help | grep -A 1 "Default options"来提取默认配置。 - 最后，仔细检查配置文件（如
/etc/my.cnf或/etc/mysql/mysql.conf.d/mysqld.cnf）中的显式设置。这里必须明确一个优先级顺序：运行时通过SET GLOBAL执行的修改优先级最高，会覆盖配置文件中的设置；而配置文件中的参数，又会覆盖编译默认值。
真正“清理”过期修改：必须重启 + 配置文件归位
如果发现了不希望存在的变量修改，该如何彻底清理呢？必须明确一个核心原则：通过 SET GLOBAL 在运行时进行的修改，仅作用于内存，无法通过执行另一条 SQL 命令来“回滚”或撤销。
唯一可靠的方法，是让 MySQL 服务进程（mysqld）在下次启动时，从“干净”的配置源重新加载。具体操作步骤如下：
- 清理配置文件：仔细检查并删除所有在
my.cnf等配置文件中，因临时调试而写入的变量设置行（例如max_connections = 500）。 - 确保
[mysqld]配置段下没有覆盖默认行为的变量定义。 - 重启 MySQL 服务：执行
sudo systemctl restart mysql或使用相应的服务管理命令。 - 重启后立即验证：例如执行
SELECT @@global.max_connections;，确认其返回值已恢复为编译默认值（如151），而不是之前手动设置的值。
权限撤销后还需检查用户是否残留其他高危权限
成功执行 REVOKE SYSTEM_VARIABLES_ADMIN ON *.* FROM 'user'@'%'，绝不意味着安全管控已经到位。许多数据库管理员会忽略连带清理其他相关的高危权限：
- 撤销遗留的
SUPER权限：在 MySQL 8.0.12 之后，SUPER权限被拆分为多个细粒度权限，但遗留的旧账号可能仍然持有它，务必检查并回收：REVOKE SUPER ON *.* FROM 'user'@'%'。 - 检查关联权限：诸如
CONNECTION_ADMIN、PERSIST_ROLES_ADMIN、SYSTEM_USER等权限也可能间接影响变量行为，需要一并审查和撤销。 - 检查角色继承：通过查询
SELECT * FROM mysql.role_edges WHERE TO_HOST = '%';来确认目标用户是否通过角色继承获得了隐式的、未预料到的权限。
完成所有权限变更后，一个关键动作是执行 FLUSH PRIVILEGES; 命令，以确保部分变更能够立即生效，避免权限缓存导致的问题。
最后，请务必牢记这个最容易被忽略的 MySQL 设计事实：变量值不会随着权限的撤销而自动重置。千万不要以为做了权限回收就万事大吉。现实中，很可能线上系统还在沿用半年前某次深夜调试留下的 SET GLOBAL innodb_log_file_size = 2G 设置，而磁盘空间早已因此发出告警——这才是真正的、隐藏的运维隐患所在。
