MySQL 引入了用户账户类别的概念，系统用户和常规用户根据是否拥有 SYSTEM_USER 权限来区分：

SYSTEM_USER 权限会影响给定用户可以对其其他权限应用的账户，以及该用户是否受到其他账户的保护：

如果用户拥有对常规帐户执行给定操作的适当权限，SYSTEM_USER 权限将允许用户对系统帐户也执行该操作。 SYSTEM_USER 本身并不意味着任何其他权限，因此执行给定帐户操作的能力仍然取决于拥有任何其他必需的权限。 例如，如果用户可以向常规帐户授予 SELECT 和 UPDATE 权限，那么拥有 SYSTEM_USER 权限的用户也可以向系统帐户授予 SELECT 和 UPDATE 权限。

系统帐户和常规帐户之间的区别在于，通过保护拥有 SYSTEM_USER 权限的帐户免受没有该权限的帐户的影响，可以更好地控制某些帐户管理问题。 例如，CREATE USER 权限不仅允许创建新帐户，还允许修改和删除现有帐户。 如果没有系统用户概念，拥有 CREATE USER 权限的用户可以修改或删除任何现有帐户，包括 root 帐户。 系统用户概念允许限制对 root 帐户（本身就是一个系统帐户）的修改，以便只有系统用户才能进行修改。 拥有 CREATE USER 权限的常规用户仍然可以修改或删除现有帐户，但只能修改常规帐户。

SYSTEM_USER 权限会影响以下操作：

在服务器内执行的会话分为系统会话和常规会话，类似于系统用户和常规用户之间的区别：

常规会话只能执行常规用户允许的操作。系统会话还可以执行仅允许系统用户执行的操作。

会话拥有的权限是直接授予其基础账户的权限，加上当前在会话中处于活动状态的所有角色授予的权限。因此，会话可能是系统会话，因为它的账户已直接被授予 SYSTEM_USER 权限，或者因为会话激活了具有 SYSTEM_USER 权限的角色。授予账户但在会话中未激活的角色不会影响会话权限。

由于激活和停用角色会更改会话拥有的权限，因此会话可能会从常规会话变为系统会话，反之亦然。如果会话激活或停用具有 SYSTEM_USER 权限的角色，则仅对该会话立即进行常规会话和系统会话之间的适当更改：

这些操作对现有会话没有影响：

由于角色激活仅影响会话而不影响帐户，因此将具有 SYSTEM_USER 权限的角色授予常规帐户并不能保护该帐户免受常规用户的攻击。该角色仅保护已激活该角色的帐户的会话，并且仅保护会话免受常规会话的终止。

帐户操作包括创建和删除帐户、授予和撤销权限、更改帐户身份验证特征（例如凭据或身份验证插件）以及更改其他帐户特征（例如密码过期策略）。

帐户操作可以通过两种方式完成：

为了完全保护系统帐户免受特定帐户的修改，请将其设置为常规帐户，并不要授予其对 mysql 模式的修改权限：

假设您要创建一个用户 u1，该用户对所有架构都拥有所有权限，但 u1 应该是一个没有修改系统账户能力的普通用户。假设 partial_revokes 系统变量已启用，请按如下方式配置 u1：

CREATE USER u1 IDENTIFIED BY 'password';

GRANT ALL ON *.* TO u1 WITH GRANT OPTION;
-- GRANT ALL includes SYSTEM_USER, so at this point
-- u1 can manipulate system or regular accounts

REVOKE SYSTEM_USER ON *.* FROM u1;
-- Revoking SYSTEM_USER makes u1 a regular user;
-- now u1 can use account-management statements
-- to manipulate only regular accounts

REVOKE ALL ON mysql.* FROM u1;
-- This partial revoke prevents u1 from directly
-- modifying grant tables to manipulate accounts

要阻止账户访问所有 mysql 系统架构，请撤销其对 mysql 架构的所有权限，如上所示。也可以允许部分 mysql 架构访问，例如只读访问。以下示例创建了一个对所有架构都具有全局 SELECT、INSERT、UPDATE 和 DELETE 权限的账户，但对 mysql 架构只有 SELECT 权限：

CREATE USER u2 IDENTIFIED BY 'password';
GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO u2;
REVOKE INSERT, UPDATE, DELETE ON mysql.* FROM u2;

另一种可能性是撤销所有 mysql 架构权限，但授予对特定 mysql 表或列的访问权限。即使对 mysql 进行部分撤销，也可以这样做。以下语句允许在 mysql 架构内对 u1 进行只读访问，但仅限于 db 表以及 user 表的 Host 和 User 列：

CREATE USER u3 IDENTIFIED BY 'password';
GRANT ALL ON *.* TO u3;
REVOKE ALL ON mysql.* FROM u3;
GRANT SELECT ON mysql.db TO u3;
GRANT SELECT(Host,User) ON mysql.user TO u3;