这些mysql数据库表包含授权信息：

关于静态和动态全局权限的差异，见静态 versus 动态权限。)

MySQL 8.4中，授权表使用InnoDB存储引擎，并且是事务性的。之前的 MySQL 8.4，授权表使用MyISAM存储引擎，并且是非事务性的。这次更改授权表存储引擎的变化使得账户管理语句，如CREATE USER或GRANT，的行为也发生了变化。之前，如果账户管理语句中指定多个用户，可以成功对一些用户失败对其他用户。现在，每个语句都是事务性的，如果出现任何错误，它将回滚并没有任何影响。

每个授权表包含范围列和权限列：

此外，一张授权表可能包含用于其他目的的列，而不是作用域或权限评估。

服务器使用授权表的方式如下：

服务器在启动时将grant表的内容读入内存中。你可以通过执行FLUSH PRIVILEGES语句或执行mysqladmin flush-privileges或mysqladmin reload命令来重新加载grant表。grant表的更改将在第8.2.13节，“权限更改生效时”中所示生效。

当您修改账户时，建议验证更改的效果是否符合预期。要检查给定账户的权限，请使用SHOW GRANTS语句。例如，要确定用户名和主机名值为bob和pc84.example.com的账户授予的权限，请使用以下语句：

SHOW GRANTS FOR 'bob'@'pc84.example.com';

要显示账户的非权限属性，请使用SHOW CREATE USER：

SHOW CREATE USER 'bob'@'pc84.example.com';

服务器在访问控制的第一和第二阶段中使用mysql数据库中的user和db表（见第8.2节，“访问控制和账户管理”）。在user和db表中有以下列。

用户表中的plugin和authentication_string列存储身份验证插件和凭证信息。

服务器使用用户账户行的plugin列中指定的插件来.authenticate连接尝试。

plugin列不能为空。启动时和在执行FLUSH PRIVILEGES语句时，服务器检查用户表行。如果存在空的plugin列，服务器将写入错误日志中的警告，以以下形式：

[Warning] User entry 'user_name'@'host_name' has an empty plugin
value. The user will be ignored and no one can login with this user
anymore.

要为缺少插件的账户分配插件，请使用ALTER USER语句。

password_expired列允许DBA过期账户密码，并要求用户重置密码。默认的password_expired值是'N'ALTER USER语句将其设置为'Y'。在账户密码过期后，用户在服务器的所有操作都将导致错误，直到用户使用ALTER USER语句来建立新的账户密码。

password_last_changed是一个TIMESTAMP列，表示密码最后更改的时间。该值仅在使用 MySQL 内置身份验证插件（mysql_native_password、sha256_password或caching_sha2_password）的账户中非空。对于其他账户，例如使用外部身份验证系统的账户，该值为NULL。

password_last_changed由CREATE USER、ALTER USER、SET PASSWORD语句和GRANT语句更新，用于创建账户或更改账户密码。

password_lifetime 表示账户密码的生命周期，单位为天。如果密码已经超过其生命周期（使用password_last_changed列进行评估），服务器将在客户端连接时认为密码已过期。值为N大于零表示密码必须每N天更改一次。值为0则禁用自动密码过期。如果值为NULL(默认)，则应用全局过期策略，根据default_ password_lifetime系统变量定义。

account_locked 表示账户是否锁定（见第8.2.20节，“Account Locking”）。

Password_ reuse_history 是账户的PASSWORD HISTORY选项值，或者为默认历史记录NULL。

Password_ reuse_time 是账户的PASSWORD REUSE INTERVAL选项值，或者为默认间隔NULL。

Password_require_current 对应账户的PASSWORD REQUIRE选项值，如下表所示。

User_attributes 是一个 JSON 格式的列，用于存储账户属性，而不是存储在其他列中。INFORMATION_SCHEMA 通过USER_ATTRIBUTES 表来暴露这些属性。

User_attributes 列可能包含以下属性：

如果无属性适用，User_attributes为NULL。

示例：拥有第二个密码和部分撤销数据库权限的账户在列值中具有additional_password和Restrictions属性：

mysql> SELECT User_attributes FROM mysql.User WHERE User = 'u'\G
*************************** 1. row ***************************
User_attributes: {"Restrictions":
                   [{"Database": "mysql", "Privileges": ["SELECT"]}],
                  "additional_password": "hashed_credentials"}

要确定哪些属性存在，请使用JSON_KEYS()函数：

SELECT User, Host, JSON_KEYS(User_attributes)
FROM mysql.user WHERE User_attributes IS NOT NULL;

要提取特定的属性，例如Restrictions

SELECT User, Host, User_attributes->>'$.Restrictions'
FROM mysql.user WHERE User_attributes->>'$.Restrictions' <> '';

下面是一个关于multi_factor_authentication的示例信息存储：

{
  "multi_factor_authentication": [
    {
      "plugin": "authentication_ldap_simple",
      "passwordless": 0,
      "authentication_string": "ldap auth string",
      "requires_registration": 0
    },
    {
      "plugin": "authentication_webauthn",
      "passwordless": 0,
      "authentication_string": "",
      "requires_registration": 1
    }
  ]
}

在第二阶段的访问控制中，服务器执行请求验证，以确保每个客户端对其发出的每个请求都具有足够的权限。除了user和db授权表外，服务器还可能会 consulted tables_priv 和 columns_priv 表，以处理涉及表的请求。后者表提供了更细粒度的权限控制，用于表和列级别。它们具有以下表格所示的列。

Timestamp 和 Grantor 列将被设置为当前时间戳和CURRENT_USER 值，但否则未使用。

验证涉及存储程序的请求时，服务器可能会咨询procs_priv表，该表具有以下表格所示的列。

Routine_type 列是一个 ENUM 列，其值为 'FUNCTION' 或 'PROCEDURE'，用于指示该行所指例程的类型。此列允许分别为具有相同名称的函数和过程授予权限。

Timestamp 和 Grantor 列未使用。

proxies_priv 表格记录了代理帐户的信息。它包含以下列：

为了使一个账户能够授予PROXY特权给其他账户，它必须在proxies_priv表中有一个行，With_授权设置为1，并且Proxied_主机和Proxied_用户设置为指示可以授予特权的账户或账户列表。例如，MySQL安装时创建的'root'@'localhost'账户在proxies_priv表中有一个行，使得授予PROXY特权给''@''，即所有用户和所有主机。这使得root可以设置代理账户，同时也可以将授权权委托给其他账户，以便它们可以设置代理账户。请参阅第8.2.19节，“Proxy Users”。

The global_授权 表列出了当前分配给用户帐户的动态全局权限。这个表有这些列:

默认用户角色表default_roles列出默认用户角色。它具有以下列：

角色的边缘表role_edges列出角色的子图。它具有以下列：

密码历史表password_history包含关于密码更改的信息。它具有以下列：

密码历史表password_history累积足够数量的非空密码，以便MySQL能够对账户密码历史长度和重用间隔进行检查。自动删除超出这两个限制的条目发生在密码更改尝试时。

如果账户被重命名，它们的条目将被重命名以匹配。如果账户被删除或其身份验证插件更改，它们的条目将被删除。

授权表中的范围列包含字符串。每个列的默认值都是空字符串。以下表格显示了每个列允许的字符数。

Host 和 Proxied_host 值将在存储到授权表时转换为小写。

为了访问检查目的，User、Proxied_user、authentication_string、Db和Table_name值的比较是区分大小写的。对Host、Proxied_host、Column_name和Routine_name值的比较不是区分大小写的。

user和db表中，每个特权在一个单独的列中被声明为ENUM('N','Y') DEFAULT 'N'。换言之，每个特权都可以禁用或启用，默认情况下是禁用的。

tables_priv、columns_priv和procs_priv表中，特权列被声明为SET列。这些列中的值可以包含由该表控制的所有特权的任意组合。只有列值中列出的特权是启用的。

只有user和global_ grants表指定了管理权限，如RELOAD、SHUTDOWN和SYSTEM_VARIABLES_ADMIN。管理操作是对服务器本身的操作，而不是数据库特定的操作，因此没有理由将这些权限列在其他授权表中。因此，服务器只需要consultuser和global_ grants表来确定用户是否可以执行管理操作。

FILE权限也只在user表中指定。它不是管理权限，而是用户对服务器主机的文件读取或写入能力，这与访问的数据库无关。

为了允许MySQL授权表上的并发DML和DDL操作，之前在MySQL授权表上获取行锁的读操作将被执行为非锁定读操作。对MySQL授权表进行非锁定读操作的操作包括：

从授权表中读取数据的语句，如果在使用 statement-基于复制时执行，将报告警告，不会获取行锁。

使用 binlog_ format=mixed 时，读取授权表数据的 DML 操作将被写入二进制日志中，以使操作安全地支持混合模式复制。

SELECT ... FOR SHARE 语句从授权表中读取数据将报告警告。使用 FOR SHARE take 语句时，不支持在授权表上获取读锁。

使用 SERIALIZABLE 隔离级别执行的 DML 操作，读取授权表数据将报告警告。通常情况下，在使用 SERIALIZABLE 隔离级别时获取的读锁在授权表上不受支持。