如何创建仅能查询MySQL元数据的用户（无DML权限）

核心思路 #

无需授予全局SELECT权限，只需精准配置information_schema库的查询权限，搭配必要的数据库列表查看权限，即可实现仅提取元数据、无DML操作权限的需求。

具体操作步骤 #

1. 创建专用用户
   根据实际访问范围（本地/远程）创建用户，示例：

   CREATE USER 'metadata_reader'@'localhost' IDENTIFIED BY 'your_secure_password';
   

   若允许远程访问，可将localhost改为'%'，但需设置强密码并限制IP范围以保障安全。

2. 授予information_schema查询权限
   仅允许该用户查询information_schema下的所有对象（包含数据库、表、列、视图的元数据视图）：

   GRANT SELECT ON information_schema.* TO 'metadata_reader'@'localhost';
   

3. 可选：授予查看所有数据库列表的权限
   默认情况下，用户只能看到自己有权限的数据库元数据。若需要该用户能查看全部数据库的元数据，需额外授予SHOW DATABASES权限：

   GRANT SHOW DATABASES ON *.* TO 'metadata_reader'@'localhost';
   

4. 刷新权限使配置生效

   FLUSH PRIVILEGES;
   

权限验证 #

切换至该用户后，执行以下操作验证权限：

• 正常查询元数据：SELECT * FROM information_schema.SCHEMATA;（查看数据库列表）、SELECT * FROM information_schema.TABLES WHERE TABLE_SCHEMA = 'your_db';（查看指定库表信息）
• 尝试DML操作或查询业务库数据时，会返回权限错误，例如：SELECT * FROM your_db.your_table; 会提示SELECT command denied，确保无数据操作权限。

内容的提问来源于stack exchange，提问作者Joaquín L. Robles