能否为MySQL设置特殊用户：应用全权限，控制台仅查询权限？

可行，核心是利用MySQL**基于连接来源（主机地址）**的权限控制机制——你可以为同一个用户名配置不同主机来源的权限规则，让应用程序从指定IP连接时拥有全权限，而程序员从其他地址（或任意地址）连接时仅能执行查询操作。

具体操作步骤：

1. 创建针对应用服务器的全权限用户
   假设应用服务器的固定IP是192.168.1.100，执行以下SQL：

   CREATE USER 'app_user'@'192.168.1.100' IDENTIFIED BY 'your_secure_password';
   GRANT ALL PRIVILEGES ON your_target_db.* TO 'app_user'@'192.168.1.100';
   

   这条规则仅允许该用户从应用服务器的IP连接，且拥有目标数据库的全部操作权限。

2. 创建针对程序员客户端的查询权限用户
   针对程序员可能使用的连接来源（比如任意外部地址%，或公司内网网段192.168.1.%，或本地localhost），创建同名用户并限制权限：

   CREATE USER 'app_user'@'%' IDENTIFIED BY 'your_secure_password';
   GRANT SELECT, SHOW VIEW ON your_target_db.* TO 'app_user'@'%';
   

   这里的SHOW VIEW是可选的，如果你需要让用户能查看视图定义的话。

3. 刷新权限使配置生效

   FLUSH PRIVILEGES;
   

关键注意事项 #

• MySQL会优先匹配更精确的主机规则，所以应用服务器用固定IP的规则会被优先触发，程序员从其他地址连接时会匹配到权限受限的规则。
• 务必保证应用服务器的IP是固定的，如果是动态IP，可以改用应用服务器的主机名（需要MySQL能解析），或者调整主机匹配规则。
• 密码设置要足够复杂，即便程序员能从web.config看到，也能降低恶意操作的风险。
• 避免给'%'来源的用户赋予任何写权限，严格控制为查询类权限。

内容的提问来源于stack exchange，提问作者Dave