ALL，ALL PRIVILEGES

这些权限说明符是 “在给定权限级别可用的所有权限” 的简写（GRANT OPTION 除外）。例如，在全局或表级别授予 ALL 将分别授予所有全局权限或所有表级权限。

ALTER

启用使用 ALTER TABLE 语句更改表的结构。 ALTER TABLE 还需要 CREATE 和 INSERT 权限。重命名表需要 ALTER 和 DROP 在旧表上，CREATE 和 INSERT 在新表上。

ALTER ROUTINE

启用使用更改或删除存储例程（存储过程和函数）的语句。对于属于授予权限范围内的例程，以及对于用户不是例程 DEFINER 中命名为用户的例程，还启用对例程定义以外的例程属性的访问。

CREATE

启用使用创建新数据库和表的语句。

CREATE ROLE

启用使用 CREATE ROLE 语句。（CREATE USER 权限也启用使用 CREATE ROLE 语句。）见 第 8.2.10 节，“使用角色”。

CREATE ROLE 和 DROP ROLE 权限不如 CREATE USER 强大，因为它们只能用于创建和删除帐户。它们不能像 CREATE USER 一样修改帐户属性或重命名帐户。见 用户和角色可互换性。

CREATE ROUTINE

启用使用创建存储例程（存储过程和函数）的语句。对于属于授予权限范围内的例程，以及对于用户不是例程 DEFINER 中命名为用户的例程，还启用对例程定义以外的例程属性的访问。

CREATE TABLESPACE

启用使用创建、更改或删除表空间和日志文件组的语句。

CREATE TEMPORARY TABLES

启用使用 CREATE TEMPORARY TABLE 语句创建临时表。

在会话创建临时表后，服务器不会对该表执行任何进一步的权限检查。创建会话可以在该表上执行任何操作，例如 DROP TABLE、INSERT、UPDATE 或 SELECT。有关更多信息，见 第 15.1.20.2 节，“CREATE TEMPORARY TABLE 语句”。

CREATE USER

启用使用 ALTER USER、CREATE ROLE、CREATE USER、DROP ROLE、DROP USER、RENAME USER 和 REVOKE ALL PRIVILEGES 语句。

CREATE VIEW

启用使用 CREATE VIEW 语句。

DELETE

启用从数据库中的表中删除行。

DROP

启用使用删除（移除）现有数据库、表和视图的语句。 DROP 权限是使用 ALTER TABLE ... DROP PARTITION 语句在分区表上所需的。 DROP 权限也是 TRUNCATE TABLE 所需的。

DROP ROLE

启用使用 DROP ROLE 语句。（CREATE USER 权限也启用使用 DROP ROLE 语句。）见 第 8.2.10 节，“使用角色”。

CREATE ROLE 和 DROP ROLE 权限不如 CREATE USER 强大，因为它们只能用于创建和删除帐户。它们不能像 CREATE USER 一样修改帐户属性或重命名帐户。见 用户和角色可互换性。

EVENT

启用使用创建、更改、删除或显示事件调度程序事件的语句。

EXECUTE

启用使用执行存储例程（存储过程和函数）的语句。对于属于授予权限范围内的例程，以及对于用户不是例程 DEFINER 中命名为用户的例程，还启用对例程定义以外的例程属性的访问。

FILE

影响以下操作和服务器行为

作为安全措施，服务器不会覆盖现有文件。

要限制文件读取和写入的位置，请将 secure_file_priv 系统变量设置为特定目录。见 第 7.1.8 节，“服务器系统变量”。

GRANT OPTION

启用你向其他用户授予或撤销你拥有的权限。

INDEX

启用用于创建或删除（移除）索引的语句。 INDEX 应用于现有表。如果您对某个表拥有 CREATE 权限，则可以在 CREATE TABLE 语句中包含索引定义。

INSERT

启用将行插入数据库中的表。 INSERT 对于 ANALYZE TABLE、OPTIMIZE TABLE 和 REPAIR TABLE 表维护语句也是必需的。

LOCK TABLES

启用使用显式 LOCK TABLES 语句锁定您拥有 SELECT 权限的表。这包括写入锁的使用，它会阻止其他会话读取锁定的表。

PROCESS

PROCESS 权限控制对服务器中执行的线程信息的访问（即，对会话正在执行的语句的信息）。使用 SHOW PROCESSLIST 语句、 mysqladmin processlist 命令、Information Schema PROCESSLIST 表和 Performance Schema processlist 表访问的线程信息如下所示

PROCESS 权限还启用使用 SHOW ENGINE 语句、访问 INFORMATION_SCHEMA InnoDB 表（名称以 INNODB_ 开头的表）以及访问 INFORMATION_SCHEMA FILES 表。

PROXY

使一个用户能够模拟或成为另一个用户。请参阅 第 8.2.19 节“代理用户”。

REFERENCES

创建外键约束需要对父表拥有 REFERENCES 权限。

RELOAD

RELOAD 启用以下操作

REPLICATION CLIENT

启用使用 SHOW BINARY LOG STATUS、 SHOW REPLICA STATUS 和 SHOW BINARY LOGS 语句。

REPLICATION SLAVE

启用帐户使用 SHOW REPLICAS、 SHOW RELAYLOG EVENTS 和 SHOW BINLOG EVENTS 语句请求已对复制源服务器上的数据库进行的更新。此权限也需要使用 mysqlbinlog 选项 --read-from-remote-server (-R) 和 --read-from-remote-source。将此权限授予复制副本用于连接到当前服务器作为其复制源服务器的帐户。

SELECT

启用从数据库中的表中选择行。 SELECT 语句仅在实际访问表时才需要 SELECT 权限。一些 SELECT 语句不访问表，可以在没有任何数据库权限的情况下执行。例如，您可以使用 SELECT 作为简单的计算器来评估不引用表的表达式

SELECT 1+1;
SELECT PI()*2;

其他读取列值的语句也需要 SELECT 权限。例如， SELECT 对于在 UPDATE 语句中的 col_name=expr 赋值的右侧引用的列或 DELETE 或 UPDATE 语句的 WHERE 子句中命名的列是必需的。

SELECT 权限对于与 EXPLAIN 一起使用的表或视图是必需的，包括视图定义中的任何底层表。

SHOW DATABASES

启用帐户通过发出 SHOW DATABASE 语句查看数据库名称。没有此权限的帐户只能看到他们拥有某些权限的数据库，如果服务器以 --skip-show-database 选项启动，则根本无法使用该语句。

SHOW VIEW

启用使用 SHOW CREATE VIEW 语句。此权限对于与 EXPLAIN 一起使用的视图也是必需的。

SHUTDOWN

启用使用 SHUTDOWN 和 RESTART 语句、 mysqladmin shutdown 命令以及 mysql_shutdown() C API 函数。

SUPER

SUPER 是一种功能强大且影响范围广的权限，不应轻易授予。如果某个帐户只需要执行 SUPER 操作的子集，则可以通过授予一个或多个动态权限来实现所需的权限集，每个动态权限都赋予更有限的功能。请参阅 动态权限描述。

SUPER 影响以下操作和服务器行为

如 第 27.8 节，“存储程序二进制日志记录” 中所述，如果启用了二进制日志记录，您可能还需要 SUPER 权限才能创建或更改存储函数。

TRIGGER

启用触发器操作。您必须具有表的此权限才能为该表创建、删除、执行或显示触发器。

当触发器被激活时（由具有执行 INSERT、UPDATE 或 DELETE 语句的权限的用户针对与触发器关联的表执行操作），触发器执行需要定义触发器的用户仍然具有该表的 TRIGGER 权限。

UPDATE

启用更新数据库中表的行。

USAGE

此权限说明符表示 “无权限。” 它在全局级别与 GRANT 一起使用，以指定诸如 WITH GRANT OPTION 之类的子句，而无需在权限列表中命名特定帐户权限。 SHOW GRANTS 显示 USAGE 以指示帐户在权限级别没有权限。

ALLOW_NONEXISTENT_DEFINER

启用覆盖旨在防止导致存储对象成为孤儿或导致采用当前为孤儿的存储对象的的操作的安全检查。没有此权限，任何导致 SQL 过程、函数或视图成为孤儿的尝试都会导致错误。使用 CREATE PROCEDURE、CREATE FUNCTION、CREATE TRIGGER、CREATE EVENT 或 CREATE VIEW 生成孤儿对象的尝试也需要 SET_ANY_DEFINER 以及 ALLOW_NONEXISTENT_DEFINER，以便允许与当前用户不同的定义者。

有关详细信息，请参见 孤儿存储对象。

APPLICATION_PASSWORD_ADMIN

对于双密码功能，此权限启用使用 RETAIN CURRENT PASSWORD 和 DISCARD OLD PASSWORD 子句用于 ALTER USER 和 SET PASSWORD 语句，这些语句适用于您自己的帐户。此权限是操作您自己的辅助密码所必需的，因为大多数用户只需要一个密码。

如果要允许帐户操作所有帐户的辅助密码，则应授予该帐户 CREATE USER 权限而不是 APPLICATION_PASSWORD_ADMIN。

有关使用双密码的更多信息，请参见 第 8.2.15 节，“密码管理”。

AUDIT_ABORT_EXEMPT

允许审计日志过滤器中的 “abort” 项阻止的查询。此权限由 audit_log 插件定义；参见 第 8.4.5 节，“MySQL Enterprise Audit”。

使用 SYSTEM_USER 权限创建的帐户在创建时会自动分配 AUDIT_ABORT_EXEMPT 权限。在您执行升级过程时，如果现有帐户没有分配该权限，则也会将 AUDIT_ABORT_EXEMPT 权限分配给具有 SYSTEM_USER 权限的现有帐户。因此，具有 SYSTEM_USER 权限的帐户可用于在审计错误配置后恢复对系统的访问权限。

AUDIT_ADMIN

启用审计日志配置。此权限由 audit_log 插件定义；参见 第 8.4.5 节，“MySQL Enterprise Audit”。

BACKUP_ADMIN

启用执行 LOCK INSTANCE FOR BACKUP 语句和访问 Performance Schema log_status 表。

在将 MySQL 9.0 从早期版本就地升级时，会自动向具有 RELOAD 权限的用户授予 BACKUP_ADMIN 权限。

AUTHENTICATION_POLICY_ADMIN

系统变量 authentication_policy 对 CREATE USER 和 ALTER USER 语句中与身份验证相关的子句的使用方式施加了某些限制。具有 AUTHENTICATION_POLICY_ADMIN 权限的用户不受这些限制的约束。（对于原本不允许的语句会发出警告。）

有关 authentication_policy 施加的限制的详细信息，请参阅该变量的说明。

BINLOG_ADMIN

通过 PURGE BINARY LOGS 和 BINLOG 语句启用二进制日志控制。

BINLOG_ENCRYPTION_ADMIN

启用设置系统变量 binlog_encryption 的功能，该变量会激活或停用二进制日志文件和中继日志文件的加密。BINLOG_ADMIN、SYSTEM_VARIABLES_ADMIN 或 SESSION_VARIABLES_ADMIN 权限不会提供此功能。相关系统变量 binlog_rotate_encryption_master_key_at_startup（在服务器重启时自动轮换二进制日志主密钥）不需要此权限。

CLONE_ADMIN

启用执行 CLONE 语句的功能。包括 BACKUP_ADMIN 和 SHUTDOWN 权限。

CONNECTION_ADMIN

启用使用 KILL 语句或 mysqladmin kill 命令来杀死属于其他帐户的线程。（帐户始终可以杀死自己的线程。）

启用设置与客户端连接相关的系统变量或绕过与客户端连接相关的限制的功能。需要 CONNECTION_ADMIN 才能激活 MySQL Server 的离线模式，这可以通过将系统变量 offline_mode 的值更改为 ON 来完成。

具有 CONNECTION_ADMIN 权限的管理员可以绕过这些系统变量的影响。

组复制组成员需要 CONNECTION_ADMIN 权限，以便在涉及的服务器之一处于离线模式时，不会终止组复制连接。如果使用了 MySQL 通信堆栈（group_replication_communication_stack = MYSQL），则没有此权限，处于离线模式的成员将被逐出组。

ENCRYPTION_KEY_ADMIN

启用 InnoDB 加密密钥轮换。

FIREWALL_ADMIN

启用用户管理任何用户的防火墙规则的功能。此权限由 MYSQL_FIREWALL 插件定义；请参阅 第 8.4.7 节，“MySQL Enterprise 防火墙”。

FIREWALL_EXEMPT

具有此权限的用户不受防火墙限制的约束。此权限由 MYSQL_FIREWALL 插件定义；请参阅 第 8.4.7 节，“MySQL Enterprise 防火墙”。

FIREWALL_USER

启用用户更新其自身防火墙规则的功能。此权限由 MYSQL_FIREWALL 插件定义；请参阅 第 8.4.7 节，“MySQL Enterprise 防火墙”。

FLUSH_OPTIMIZER_COSTS

启用使用 FLUSH OPTIMIZER_COSTS 语句的功能。

FLUSH_PRIVILEGES

启用使用 FLUSH PRIVILEGES 语句的功能。

FLUSH_STATUS

启用使用 FLUSH STATUS 语句的功能。

FLUSH_TABLES

启用使用 FLUSH TABLES 语句的功能。

FLUSH_USER_RESOURCES

启用使用 FLUSH USER_RESOURCES 语句的功能。

GROUP_REPLICATION_ADMIN

启用帐户使用 START GROUP REPLICATION 和 STOP GROUP REPLICATION 语句启动和停止组复制，更改系统变量 group_replication_consistency 的全局设置，以及使用 group_replication_set_write_concurrency() 和 group_replication_set_communication_protocol() 函数的功能。将此权限授予用于管理作为复制组成员的服务器的帐户。

GROUP_REPLICATION_STREAM

允许用户帐户用于建立组复制的组通信连接。当使用 MySQL 通信堆栈进行组复制（group_replication_communication_stack=MYSQL）时，必须将其授予恢复用户。

INNODB_REDO_LOG_ARCHIVE

启用帐户激活和停用重做日志存档的功能。

INNODB_REDO_LOG_ENABLE

启用使用 ALTER INSTANCE {ENABLE|DISABLE} INNODB REDO_LOG 语句启用或停用重做日志记录的功能。

请参阅 停用重做日志记录。

MASKING_DICTIONARIES_ADMIN

启用帐户使用 masking_dictionary_term_add() 和 masking_dictionary_term_remove() 组件函数添加和删除字典词条的功能。帐户还需要此动态权限才能使用 masking_dictionary_remove() 函数删除完整字典，该函数会删除当前位于 mysql.masking_dictionaries 表中的与命名字典关联的所有词条。

请参阅 第 8.5 节，“MySQL Enterprise 数据屏蔽和去标识”。

NDB_STORED_USER

启用用户或角色及其权限在所有启用 NDB 的 MySQL 服务器之间共享和同步，只要它们加入给定的 NDB 集群即可。此权限仅在启用 NDB 存储引擎的情况下可用。

对给定用户或角色进行的任何更改或权限撤销都会立即与所有已连接的 MySQL 服务器（SQL 节点）同步。您应该意识到，无法保证来自不同 SQL 节点的多个影响权限的语句在所有 SQL 节点上的执行顺序相同。因此，强烈建议所有用户管理都应从一个指定的 SQL 节点完成。

NDB_STORED_USER 是全局权限，必须使用 ON *.* 授予或撤销。尝试为该权限设置任何其他范围都会导致错误。此权限可以授予大多数应用程序和管理用户，但不能授予系统保留帐户，例如 mysql.session@localhost 或 mysql.infoschema@localhost。

已授予 NDB_STORED_USER 权限的用户将存储在 NDB 中（因此由所有 SQL 节点共享），具有此权限的角色也是如此。仅被授予具有 NDB_STORED_USER 权限的角色的用户 不会 存储在 NDB 中；每个 NDB 存储用户都必须被明确授予该权限。

有关这在 NDB 中的工作原理的更多详细信息，请参阅 第 25.6.13 节，“权限同步和 NDB_STORED_USER”。

OPTIMIZE_LOCAL_TABLE

启用使用 OPTIMIZE LOCAL TABLE 和 OPTIMIZE NO_WRITE_TO_BINLOG TABLE 语句的功能。

PASSWORDLESS_USER_ADMIN

此权限适用于无密码用户帐户。

有关无密码身份验证的信息，请参见 WebAuthn 无密码身份验证。

PERSIST_RO_VARIABLES_ADMIN

对于也具有 SYSTEM_VARIABLES_ADMIN 的用户，PERSIST_RO_VARIABLES_ADMIN 允许使用 SET PERSIST_ONLY 将全局系统变量持久化到数据目录中的 mysqld-auto.cnf 选项文件。此语句类似于 SET PERSIST，但不会修改运行时全局系统变量值。这使得 SET PERSIST_ONLY 适用于配置只读系统变量，这些变量只能在服务器启动时设置。

另请参见 第 7.1.9.1 节，“系统变量权限”。

REPLICATION_APPLIER

允许帐户充当复制通道的 PRIVILEGE_CHECKS_USER，并在 mysqlbinlog 输出中执行 BINLOG 语句。将此权限授予使用 CHANGE REPLICATION SOURCE TO 分配的帐户，以提供复制通道的安全上下文，并处理这些通道上的复制错误。除了 REPLICATION_APPLIER 权限之外，您还必须授予帐户执行由复制通道接收或包含在 mysqlbinlog 输出中的事务所需的权限，例如更新受影响的表。有关更多信息，请参见 第 19.3.3 节，“复制权限检查”。

REPLICATION_SLAVE_ADMIN

允许帐户连接到复制源服务器，使用 START REPLICA 和 STOP REPLICA 语句启动和停止复制，并使用 CHANGE REPLICATION SOURCE TO 和 CHANGE REPLICATION FILTER 语句。将此权限授予副本用于连接到当前服务器作为其复制源服务器的帐户。此权限不适用于组复制；对于组复制，请使用 GROUP_REPLICATION_ADMIN。

RESOURCE_GROUP_ADMIN

允许资源组管理，包括创建、更改和删除资源组，以及将线程和语句分配给资源组。具有此权限的用户可以执行与资源组相关的任何操作。

RESOURCE_GROUP_USER

允许将线程和语句分配给资源组。具有此权限的用户可以使用 SET RESOURCE GROUP 语句和 RESOURCE_GROUP 优化器提示。

ROLE_ADMIN

允许授予和撤销角色，使用 GRANT 语句的 WITH ADMIN OPTION 子句，以及 ROLES_GRAPHML() 函数结果中的非空 <graphml> 元素内容。需要设置 mandatory_roles 系统变量的值。

SENSITIVE_VARIABLES_OBSERVER

允许持有者查看性能模式表 global_variables、session_variables、variables_by_thread 和 persisted_variables 中敏感系统变量的值，发出 SELECT 语句以返回其值，并在连接的会话跟踪器中跟踪对其的更改。没有此权限的用户无法查看或跟踪这些系统变量值。请参见 持久化敏感系统变量。

SERVICE_CONNECTION_ADMIN

允许连接到仅允许管理连接的网络接口（请参见 第 7.1.12.1 节，“连接接口”）。

SESSION_VARIABLES_ADMIN

对于大多数系统变量，设置会话值不需要任何特殊权限，任何用户都可以执行此操作以影响当前会话。对于某些系统变量，设置会话值可能会对当前会话之外产生影响，因此这是一个受限操作。对于这些变量，SESSION_VARIABLES_ADMIN 权限允许用户设置会话值。

如果系统变量受到限制，并且需要特殊权限才能设置会话值，则变量描述将指示该限制。示例包括 binlog_format、sql_log_bin 和 sql_log_off。

SESSION_VARIABLES_ADMIN 权限是 SYSTEM_VARIABLES_ADMIN 和 SUPER 权限的子集。具有这两个权限之一的用户也被允许设置受限的会话变量，并且实际上隐含地具有 SESSION_VARIABLES_ADMIN，因此无需显式授予 SESSION_VARIABLES_ADMIN。

另请参见 第 7.1.9.1 节，“系统变量权限”。

SET_ANY_DEFINER

允许在执行视图或存储程序时设置有效的授权 ID。具有此权限的用户可以为 CREATE PROCEDURE、CREATE FUNCTION、CREATE TRIGGER、CREATE EVENT、ALTER EVENT、CREATE VIEW 和 ALTER VIEW 指定任何帐户作为 DEFINER 属性。没有此权限，只能指定有效的身份验证 ID。

存储程序以指定帐户的权限执行，因此请确保您遵循 第 27.7 节，“存储对象访问控制” 中列出的风险最小化指南。

SHOW_ROUTINE

允许用户访问所有存储例程（存储过程和函数）的定义和属性，即使是用户未被命名为例程 DEFINER 的例程。此访问包括

SHOW_ROUTINE 可以作为具有更受限范围的权限授予，该权限允许访问例程定义。（也就是说，管理员可以撤消不需要全局 SELECT 的用户的全局 SELECT，并授予 SHOW_ROUTINE。）这使帐户能够备份存储例程，而无需广泛的权限。

SKIP_QUERY_REWRITE

由具有此权限的用户发出的查询不受 Rewriter 插件重写的约束（请参见 第 7.6.4 节，“Rewriter 查询重写插件”）。

此权限应授予发出不应该被重写的管理或控制语句的用户，以及 PRIVILEGE_CHECKS_USER 帐户（请参见 第 19.3.3 节，“复制权限检查”），用于应用来自复制源的语句。

SYSTEM_USER

SYSTEM_USER 权限区分系统用户和普通用户

SYSTEM_USER 权限会影响给定用户可以将其其他权限应用到的帐户，以及用户是否受到其他帐户的保护

这也意味着，由具有SYSTEM_USER权限的用户创建的数据库对象不能被没有该权限的用户修改或删除。这也适用于定义者具有此权限的例程。

有关更多信息，请参见第 8.2.11 节“帐户类别”。

由SYSTEM_USER权限赋予系统帐户的防止普通帐户修改的保护机制不适用于对mysql系统模式具有权限的普通帐户，因此可以直接修改该模式中的授权表。为了获得完全的保护，不要向普通帐户授予mysql模式权限。请参见保护系统帐户免遭普通帐户操纵。

如果audit_log插件正在使用（请参见第 8.4.5 节“MySQL Enterprise Audit”），则具有SYSTEM_USER权限的帐户将自动分配AUDIT_ABORT_EXEMPT权限，该权限允许其查询即使在过滤器中配置的“abort”项会阻止它们的情况下也能执行。因此，具有SYSTEM_USER权限的帐户可用于在审计配置错误后重新获得对系统的访问权限。

SYSTEM_VARIABLES_ADMIN

影响以下操作和服务器行为

TABLE_ENCRYPTION_ADMIN

当table_encryption_privilege_check启用时，允许用户覆盖默认加密设置；请参见定义模式和通用表空间的加密默认值。

TELEMETRY_LOG_ADMIN

启用遥测日志配置。此权限由telemetry_log插件定义，该插件通过 AWS 上的 HeatWave 部署。

TP_CONNECTION_ADMIN

启用使用特权连接连接到服务器。当达到thread_pool_max_transactions_limit定义的限制时，不允许新的连接，除非由thread_pool_longrun_trx_limit覆盖。特权连接忽略事务限制并允许连接到服务器以增加事务限制，删除限制或终止正在运行的事务。此权限默认情况下不会授予任何用户。要建立特权连接，启动连接的用户必须具有TP_CONNECTION_ADMIN权限。

当达到thread_pool_max_transactions_limit定义的限制时，特权连接可以执行语句并启动事务。特权连接放置在Admin线程组中。请参见特权连接。

TRANSACTION_GTID_TAG

在复制源服务器上将gtid_next系统变量设置为AUTOMATIC:TAG或UUID:TAG:NUMBER所需。此外，至少需要一个SYSTEM_VARIABLES_ADMIN、SESSION_VARIABLES_ADMIN或REPLICATION_APPLIER来将gtid_next设置为源上的其中一个值。

为了将gtid_next设置为AUTOMATIC:TAG，REPLICATION_CHECKS_APPLIER也必须具有此权限以及REPLICATION_APPLIER权限。在启动复制应用程序线程时，会检查这一点。

此权限还要求设置gtid_purged服务器系统变量。

有关使用标记的 GTID 的更多信息，请参见gtid_next的描述，以及第 19.1.4 节“在联机服务器上更改 GTID 模式”。

VERSION_TOKEN_ADMIN

启用版本令牌函数的执行。此权限由version_tokens插件定义；请参见第 7.6.6 节“版本令牌”。

XA_RECOVER_ADMIN

启用XA RECOVER语句的执行；请参见第 15.3.8.1 节“XA 事务 SQL 语句”。

在 MySQL 9.0 之前，任何用户都可以执行XA RECOVER语句来发现未完成的已准备好的 XA 事务的 XID 值，这可能会导致由启动事务的用户以外的用户提交或回滚 XA 事务。在 MySQL 9.0 中，仅允许具有XA_RECOVER_ADMIN权限的用户执行XA RECOVER，预计该权限仅授予需要它的管理用户。例如，这可能是 XA 应用程序管理员的情况，如果应用程序崩溃并且需要查找应用程序启动的未完成事务以使其回滚。此权限要求阻止用户发现除自身以外的未完成的已准备好的 XA 事务的 XID 值。它不会影响 XA 事务的正常提交或回滚，因为启动事务的用户知道其 XID。

FILE可能会被滥用，以将 MySQL 服务器可以在服务器主机上读取的任何文件读入数据库表。这包括所有世界可读文件和服务器数据目录中的文件。然后可以使用SELECT访问该表，以将内容传输到客户端主机。

GRANT OPTION使用户能够将他们的权限授予其他用户。具有不同权限并且具有GRANT OPTION权限的两个用户能够组合权限。

ALTER可用于通过重命名表来破坏权限系统。

SHUTDOWN可能会被滥用，通过终止服务器来完全拒绝其他用户服务。

PROCESS可用于查看当前执行语句的纯文本，包括设置或更改密码的语句。

SUPER可用于终止其他会话或更改服务器的操作方式。

针对mysql系统数据库本身授予的权限可用于更改密码和其他访问权限信息

静态权限内置于服务器中。它们始终可用于授予用户帐户，并且不能取消注册。

动态权限可以在运行时注册和取消注册。这会影响它们的可用性：尚未注册的动态权限无法授予。

服务器在服务器启动时自动注册 global_grants 中命名的权限（除非指定了 --skip-grant-tables 选项）。

GRANT 和 REVOKE 语句修改 global_grants 的内容。

在 global_grants 中列出的动态权限分配是持久的。它们在服务器关闭时不会被删除。

GRANT ALL 在全局级别授予所有静态全局权限和所有当前注册的动态权限。在执行 GRANT 语句后注册的动态权限不会追溯授予任何帐户。

REVOKE ALL 在全局级别撤销所有授予的静态全局权限和所有授予的动态权限。