mysql 5.7及以前创建触发器需super权限，8.0+改用trigger权限；存储过程权限检查在执行时而非定义时；触发器权限为库级且以定义者身份执行；权限回收不影响已存在对象。
触发器创建需要 SUPER 权限（MySQL 5.7 及以前）
在 MySQL 5.7 及更早版本中，CREATE TRIGGER 要求用户拥有 SUPER 权限，哪怕只对单个数据库操作。这是很多运维同学踩坑的起点：明明给了 SELECT, INSERT, UPDATE 全库权限，执行 CREATE TRIGGER 还是报错 ERROR 1227 (42000): Access denied; you need (at least one of) the SUPER privilege(s) for this operation。
解决办法只有两个：
- MySQL 5.7：由具备
SUPER权限的管理员执行触发器创建，普通开发账号不直接建 - 升级到 MySQL 8.0+：
SUPER权限被废弃，改用细粒度权限TRIGGER，可按库授权：GRANT TRIGGER ON `mydb`.* TO 'devuser'@'%';
存储过程权限取决于调用时的行为，而非定义者
MySQL 存储过程的权限检查发生在**执行时（runtime）**，不是创建时。也就是说，即使你用 root 创建了 PROCEDURE update_order_status，当 app_user 调用它时，MySQL 会检查 app_user 是否有该过程内部 SQL 所需的权限（比如对 orders 表的 UPDATE 权限），而不是看定义者是谁。
常见误区：
- 误以为加了
SQL SECURITY DEFINER就能绕过调用者权限限制 —— 实际上它只影响函数/过程内「对数据库对象的访问」是否以定义者身份执行，但前提仍是定义者本身要有对应权限 - 未给调用者授予过程里涉及的所有表的显式权限，导致
CALL my_proc()报错ERROR 1142: UPDATE command denied to user
建议做法：
ECTouch是上海商创网络科技有限公司推出的一套基于 PHP 和 MySQL 数据库构建的开源且易于使用的移动商城网店系统！应用于各种服务器平台的高效、快速和易于管理的网店解决方案，采用稳定的MVC框架开发，完美对接ecshop系统与模板堂众多模板，为中小企业提供最佳的移动电商解决方案。ECTouch程序源代码完全无加密。安装时只需将已集成的文件夹放进指定位置，通过浏览器访问一键安装，无需对已有
- 创建过程时明确指定
SQL SECURITY DEFINER（如果确实需要提升权限上下文） - 确保定义者账户（如
admin@localhost）拥有过程内所有 DML 操作所需的权限 - 调用者至少要有
EXECUTE权限：GRANT EXECUTE ON PROCEDURE mydb.my_proc TO 'app_user'@'%';
TRIGGER 权限不能跨库生效，且无法单独授予表级
TRIGGER 权限是数据库级别（schema-level）的，MySQL 不支持类似 GRANT TRIGGER ON mydb.orders TO ... 这样的表级授权。这意味着只要用户有 TRIGGER 权限，就能在该库下为任意表建触发器 —— 包括你可能不想暴露的系统表或敏感表。
更关键的是：触发器内的 SQL 语句执行时，**使用的是触发器定义者的权限，不是触发事件发起者的权限**。例如：
- 用户 A 插入
logs表（A 有 INSERT 权限） - 该表上有 AFTER INSERT 触发器，由用户 B 定义，触发器里更新
stats表 - 只要 B 对
stats有 UPDATE 权限，更新就能成功，A 即使没权限也不影响
所以权限设计要特别注意：
- 避免让低权限账号成为触发器定义者
- 不要在触发器里执行高危操作（如删表、写入其他库），因为调用者无法感知或拦截
- MySQL 8.0 中可通过
information_schema.TRIGGERS查看谁定义了哪些触发器：SELECT TRIGGER_SCHEMA, TRIGGER_NAME, DEFINER FROM information_schema.TRIGGERS WHERE TRIGGER_SCHEMA = 'mydb';
监控与回收：权限变更不会自动同步到已存在的触发器/过程
如果你 revoke 了某个用户的 TRIGGER 或 EXECUTE 权限，已存在的触发器和存储过程**不会失效**，它们仍可照常触发或调用 —— 因为权限检查只发生在创建或首次调用时（具体看 SQL SECURITY 设置）。真正的问题出现在后续维护阶段：
- 用户被删掉后，其定义的触发器/过程依然存在，但
DEFINER字段变成无效账户，可能导致某些操作（如 mysqldump --triggers）失败 - 修改定义者账户密码或 host 后，若过程设为
SQL SECURITY DEFINER，而新连接无法认证该定义者，则执行时报错ERROR 1449: The user specified as a definer ('xxx'@'yyy') does not exist - 没有机制自动清理“孤儿触发器”，必须人工通过
SHOW TRIGGERS或查询information_schema发现
最稳妥的做法是：把触发器和存储过程统一由一个专用服务账号（如 svc_proc@localhost）创建，并严格管控该账号的生命周期。
