如何编写脚本批量导出MySQL中所有用户权限设置，基于查询mysql.user表？

本文共计706个文字，预计阅读时间需要3分钟。

直接查询《mysql.user》表，无法完整权限，因为权限分散在多个系统表中：

用 SHOW GRANTS FOR 'user'@'host' 才可靠

MySQL 官方推荐方式是逐个调用 SHOW GRANTS，它自动合并所有层级的权限并输出可执行 SQL。批量操作需结合查询结果动态拼接：

SELECT CONCAT('SHOW GRANTS FOR ''', user, '''@''', host, ''';') FROM mysql.user WHERE user != '';

把上面结果复制进 MySQL 客户端执行，或用脚本（如 Python / shell）捕获输出。注意：

• user 和 host 字段要严格按实际值引号包裹，单引号必须转义（''）
• 匿名用户（user = ''）不能被 SHOW GRANTS 识别，需跳过或单独处理
• 若用户有 WITH GRANT OPTION，SHOW GRANTS 会原样带出，无需额外判断

mysqldump 不支持导出权限，但 mysqlpump 可以（MySQL 5.7+）

mysqlpump 是官方替代 mysqldump 的工具，支持权限导出：

mysqlpump --no-data --exclude-databases=% --users

关键参数说明：

• --no-data：不导出表数据
• --exclude-databases=%：排除所有数据库，只保留系统库（含 mysql）
• --users：显式导出用户和权限（生成 CREATE USER + GRANT）

⚠️ 注意：mysqlpump 默认不导出 mysql 库的表结构，所以必须加 --users 触发权限逻辑；且它不会导出 PROXY 权限或角色（MySQL 8.0+），这类需额外处理。

MySQL 8.0+ 要额外考虑角色（role）和密码历史

8.0 引入角色后，权限可能通过 GRANT role_name TO user 绑定，SHOW GRANTS 会显示，但单纯查 mysql.user 完全看不到。导出时必须确保：

• 先导出角色定义（CREATE ROLE）
• 再导出角色的权限（SHOW GRANTS FOR ROLE 'xxx'）
• 最后导出用户对角色的绑定关系

密码策略相关字段（如 password_reuse_history）也无法通过 SQL 还原，只能靠 mysqlpump --users 或手动备份 mysql.user 表数据——但这属于高危操作，生产环境不建议直接 dump 系统表。

真正安全的批量导出，永远依赖 SHOW GRANTS 的逐用户执行，其他方式都是妥协。别图省事写个 SELECT 拼字符串，线上权限一旦漏一条，排查成本远高于多跑两秒脚本。