如何通过GRANT EXECUTE语句在MySQL中精确授予存储过程和函数的执行权限？

本文共计817个文字，预计阅读时间需要4分钟。

MySQL 的 `GRANT EXECUTE` 语句不支持对单个存储过程或函数精确授权，它只能用于数据库级别（`ON database.*`）或全局级别（`ON *.*`）。尝试使用 `GRANT EXECUTE ON PROCEDURE db.proc_name TO 'u'@'h'` 进行授权会报错：

实际能授 EXECUTE 权限的最小粒度是什么

是数据库（schema）级。只要用户有某个数据库的 EXECUTE 权限，就能调用该库下所有已存在的以及后续创建的存储过程和函数（前提是还满足 DEFINER 权限检查规则）。

执行方式如下：

GRANT EXECUTE ON `mydb`.* TO 'appuser'@'192.168.1.%';

注意点：

• `mydb`.* 中的反引号必须加，尤其当库名含短横线或数字开头时，否则语法错误
• 该授权不自动赋予 SELECT、INSERT 等数据操作权限，过程内部若查表仍需单独授权
• 如果过程里用了 SQL SECURITY DEFINER（默认），则执行时以定义者身份校验权限，此时被授权用户本身可能不需要表级权限

为什么给用户授权后还是调用失败

常见原因不是权限没给，而是权限生效路径不对：

• 执行 GRANT 后忘了 FLUSH PRIVILEGES —— 大多数情况不需要，但如果你手动改过 mysql.proc 表或用非 GRANT 方式更新了权限表，就得刷
• 用户连接时用的是不同 host，比如你授的是 'user'@'localhost'，但应用连的是 'user'@'127.0.0.1'，这两个在 MySQL 里是两个独立账号
• 过程或函数属于另一个数据库，而你只给当前库授了 EXECUTE，调用跨库对象时，目标库也要授
• 用户有 EXECUTE 权限，但过程里访问了其他库的表，且没给对应 SELECT 权限，报错提示却是 PROCEDURE xxx can't be found 或 access denied，容易误判

有没有办法限制只让调用某几个特定过程

原生 MySQL 不支持。所谓“细粒度过程级授权”在 8.0 中仍未实现。变通做法只有两种：

• 把要开放的过程集中放到一个专用数据库（如 api_routines），只对该库授 EXECUTE，其他过程放别处不授权
• 改用代理层（如 ProxySQL）或应用层做白名单控制，在到达 MySQL 前就拦截非法调用

另外注意：MySQL 8.0+ 的角色（role）机制也不能解决这个问题，因为角色同样只能绑定到数据库级 EXECUTE 权限，无法细化到对象名。

真正需要按过程隔离权限的场景，往往意味着业务逻辑耦合过重，这时候更值得花时间重构接口边界，而不是在权限层打补丁。