mysql权限错误主因是用户缺乏对应操作权限，需确认登录用户与认证用户差异、查实各层级生效权限、按连接来源精准授权并刷新，同时排查sql模式、definer权限及secure_file_priv等非权限因素。
Mysql权限错误通常表现为“access denied”或“select command denied”等提示，核心原因是用户没有执行对应操作所需的权限。解决的关键是确认当前用户、检查权限范围、按需授权，并注意权限生效机制。
确认当前登录用户和主机
权限是按“用户名@主机名”组合定义的，同一用户名从不同主机连接可能权限完全不同。
- 登录后执行 SELECT USER(), CURRENT_USER(); —— USER() 显示你尝试登录时用的身份（含客户端IP），CURRENT_USER() 显示实际被MySQL认证的账号（即匹配的权限记录）
- 如果两者不一致，说明存在多个同名用户（如 ‘app’@’%’ 和 ‘app’@’192.168.1.100’），MySQL选中了权限更小的那个
- 查所有匹配用户：SELECT Host, User FROM mysql.user WHERE User = ‘your_user’;
查看用户实际拥有的权限
不要只看创建语句，要查当前生效权限。
- 查全局权限：SHOW GRANTS for ‘user’@’host’;
- 查某数据库权限：SHOW GRANTS FOR ‘user’@’host’ ON `db_name`.*;（注意反引号）
- 权限可能来自多个层级（全局、库级、表级、列级），MySQL会合并生效，但最低粒度优先（例如表级权限会覆盖库级）
按需授权并刷新权限
授予权限后必须让MySQL重新加载权限表。
- 常用授权示例：GRANT SELECT, INSERT ON `mydb`.* TO ‘app’@’192.168.1.%’;
- 授予所有权限（谨慎）：GRANT ALL PRIVILEGES ON `mydb`.* TO ‘app’@’%’;
- 执行 FLUSH PRIVILEGES; 使变更立即生效（仅在直接修改mysql系统表后必需；用GRANT语句授权一般自动刷新）
- 注意：授权时的 host 通配符要匹配实际连接来源（如应用连的是 127.0.0.1，就不能只给 ‘user’@’localhost’，因 localhost 触发 unix socket 连接，而 127.0.0.1 是 TCP）
检查SQL模式与上下文限制
有些报错看似权限问题，实为其他配置拦截。
- 确认是否启用了 sql_mode=STRICT_TRANS_TABLES 等严格模式，导致插入违规数据被拒绝（非权限错误）
- 存储过程/函数执行时，受 SQL SECURITY 定义影响——DEFINER 权限不足也会报错，此时需检查定义者权限或改用 INVOKER
- 使用 LOAD DATA INFILE 时，需同时具备 FILE 权限 + 服务端 secure_file_priv 路径限制允许