mysql存储过程不能直接执行grant/revoke，必须用prepare+execute动态sql绕过解析限制；definer需为高权限账户且显式声明sql security definer，调用前须确保目标用户存在并注意安全风险。
存储过程不能直接授予权限，必须用动态SQL绕过权限检查
MySQL 存储过程默认以定义者（DEFINER）权限执行，但 GRANT、REVOKE 这类权限语句**不允许在存储过程中直接调用**，会报错 ERROR 1064 (42000): You have an error in your SQL syntax 或更明确的 ERROR 1227 (42000): Access denied; you need (at least one of) the SUPER privilege(s) for this operation。根本原因：MySQL 在解析阶段就拒绝了权限语句出现在存储过程体中。
绕过方法是使用 PREPARE + EXECUTE 执行动态 SQL —— 此时语句在运行时解析，且只要 DEFINER 用户本身拥有对应权限，就能成功执行。
示例：创建一个为指定用户授予 SELECT 权限的存储过程：
DELIMITER $$
CREATE PROCEDURE grant_select_on_db(
IN target_user VARCHAR(32),
IN target_host VARCHAR(60),
IN db_name VARCHAR(64)
)
SQL SECURITY DEFINER
BEGIN
SET @sql = CONCAT('GRANT SELECT ON `', db_name, '`.* TO ''', target_user, '''@''', target_host, '''');
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;
FLUSH PRIVILEGES;
END$$
DELIMITER ;DEFINER 必须是高权限账户，且不能设为 CURRENT_USER
如果存储过程的 DEFINER 是普通用户（比如 user@localhost），即使调用者是 root，也无法执行 GRANT；反之，若 DEFINER 是 'root'@'%' 且该账号确实有 GRANT OPTION，过程才能成功。
常见错误配置：
- 省略
SQL SECURITY DEFINER→ 默认是DEFINER，但若没显式声明，容易误以为是INVOKER，导致权限失败 - 写成
SQL SECURITY INVOKER→ 执行时检查调用者的权限，而非定义者，几乎必然失败 -
DEFINER账户密码过期、被锁、或权限已被回收（如管理员 revoke 了GRANT OPTION）
确认方式：SELECT DEFINER FROM mysql.proc WHERE name = 'grant_select_on_db';
完全公开源代码，并无任何许可限制 特别基于大型电子商务网站的系统开发 Microsoft SQL Server 2000后台数据库，充分应用了存储过程的巨大功效 基于类模块的扩展数据访问能力支持任何类型的大型数据库 加密用户登录信息(cookie) 易于安装的系统和应用功能 100%的asp.net的代码，没有COM，java或者其他的格式 完全基于MS建议的系统安全设计 最佳的应用程序,数据库
调用前必须确保目标用户已存在，否则 GRANT 会静默失败
MySQL 的 GRANT 语句在目标用户不存在时**不会报错，也不会自动创建用户**（除非开启 sql_mode 中的 NO_AUTO_CREATE_USER 已被移除，但 5.7+ 默认不创建）。结果是权限没生效，还查不到明显错误。
安全做法是在存储过程中先检查并创建用户：
SET @create_user = CONCAT('CREATE USER IF NOT EXISTS ''', target_user, '''@''', target_host, ''' IDENTIFIED BY ''temp_pass''');
PREPARE stmt FROM @create_user;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;注意：IDENTIFIED BY 在 8.0+ 需配合认证插件（如 AUTHENTICATION_PLUGIN = 'caching_sha2_password'），否则可能因默认插件不匹配导致用户无法登录。
生产环境慎用：审计难、不可回滚、易引发权限扩散
通过存储过程批量授予权限，相当于把 DBA 级操作封装成可被任意调用者触发的黑盒。一旦参数传错（比如 target_user = '%' 或 db_name = '*'），可能意外开放过大权限。
更隐蔽的风险：
- 过程日志不记录具体执行的
GRANT语句，只有“调用了 proc” -
FLUSH PRIVILEGES在某些版本中不是实时生效（尤其搭配代理或中间件时） - 无法用
START TRANSACTION包裹权限变更 ——GRANT是 DDL，自动提交，不可回滚
真正需要自动化授权的场景，建议改用外部脚本（Python/Shell）+ 最小权限账号 + 审计日志 + 参数白名单校验，而不是塞进 MySQL 存储过程里。
