WITH GRANT OPTION子句是可选的。假如您包含他，用户能够授予权限通过GRANT语句授权给其他用户。您能够用该子句给和其他用户授权的能力。
用户名、口令、数据库和表名在授权表记录中是大小写敏感的，主机名和列名不是。
一般地，您能够通过询问几个简单的问题来识别GRANT语句的种类：
- 谁能连接，从那儿连接？
- 用户应该有什么级别的权限，他们适用于什么？
- 用户应该允许管理权限吗？
下面就讨论一些例子。
1.1 谁能连接，从那儿连接？
您能够允许一个用户从特定的或一系列主机连接。有一个极端，假如您知道降职从一个主机连接，您能够将权限局限于单个主机：
GRANT ALL ON samp_db.* TO boris@localhost IDENTIFIED BY "ruby" GRANT ALL ON samp_db.* TO fred@res.mars.com IDENTIFIED BY "quartz"
(samp_db.*意思是“samp_db数据库的任何表)另一个极端是，您可能有一个经常旅行并需要能从世界各地的主机连接的用户max。在这种情况下，您能够允许他无论从哪里连接：
GRANT ALL ON samp_db.* TO max@% IDENTIFIED BY "diamond"
“%”字符起通配符作用，和LIKE模式匹配的含义相同。在上述语句中，他意味着“任何主机”。所以max和max@%等价。这是建立用户最简单的方法，但也是最不安全的。
取其中，您能够允许一个用户从一个受限的主机集合访问。例如，要允许mary从snake.net域的任何主机连接，用一个%.snake.net主机指定符：
GRANT ALL ON samp_db.* TO mary@.snake.net IDENTIFIED BY "quartz";
假如您喜欢，用户标识符的主机部分能够用IP地址而不是个主机名来给定。您能够指定一个IP地址或一个包含模式字符的地址，而且，从MySQL 3.23，您还能够指定具备指出用于网络号的位数的网络掩码的IP号：
GRANT ALL ON samp_db.* TO boris@192.168.128.3 IDENTIFIED BY "ruby"
GRANT ALL ON samp_db.* TO fred@192.168.128.% IDENTIFIED BY "quartz"
GRANT ALL ON samp_db.* TO rex@192.168.128.0/17 IDENTIFIED BY "ruby"
第一个例子指出用户能从其连接的特定主机，第二个指定对于C类子网192.168.128的IP模式，而第三条语句中，192.168.128.0/17指定一个17位网络号并匹配具备192.168.128头17位的IP地址。
假如MySQL抱怨您指定的用户值，您可能需要使用引号（只将用户名和主机名部分分开加引号）。
GRANT ALL ON samp_db.president TO "my friend"@"boa.snake.net"
1.2 用户应该有什么级别的权限和他们应该适用于什么？
您能够授权不同级别的权限，全局权限是最强大的，因为他们适用于任何数据库。要使ethel成为可做任何事情的终极用户，包括能授权给其他用户，发出下列语句：
GRANT ALL ON *.* TO ethel@localhost IDENTIFIED BY "coffee" WITH GRANT OPTION
ON子句中的*.*意味着“任何数据库、任何表”。从安全考虑，我们指定ethel只能从本地连接。限制一个终极用户能够连接的主机通常是明智的，因为他限制了试图破解口令的主机。
有些权限（FILE、PROCESS、RELOAD和SHUTDOWN）是管理权限并且只能用"ON *.*"全局权限指定符授权。假如您愿意，您能够授权这些权限，而不授权数据库权限。例如，下列语句配置一个flush用户，他只能发出flush语句。这可能在您需要执行诸如清空日志等的管理脚本中会有用：
GRANT RELOAD ON *.* TO flushl@localhost IDENTIFIED BY "flushpass"
一般地，您想授权管理权限，吝啬点，因为拥有他们的用户能够影响您的服务器的操作。
数据库级权限适用于一个特定数据库中的任何表，他们可通过使用ON db_name.*子句授予：
GRANT ALL ON samp_db TO bill@racer.snake.net INDETIFIED BY "rock"
GRANT SELECT ON samp_db TO ro_user@% INDETIFIED BY "rock"
第一条语句向bill授权samp_db数据库中任何表的权限，第二条创建一个严格限制访问的用户ro_user（只读用户），只能访问samp_db数据库中的任何表，但只有读取，即用户只能发出SELECT语句。
您能够列出一系列同时授予的各个权限。例如，假如您想让用户能读取并能修改现有数据库的内容，但不能创建新表或删除表，如下授予这些权限：
GRANT SELECT,INSERT,DELETE,UPDATE ON samp_db TO bill@snake.net INDETIFIED BY "rock"
对于更精致的访问控制，您能够在各个表上授权，或甚至在表的每个列上。当您想向用户隐藏一个表的部分时，或您想让一个用户只能修改特定的列时，列特定权限很有用。如：
GRANT SELECT ON samp_db.member TO bill@localhost INDETIFIED BY "rock" GRANT UPDATE (expiration) ON samp_db. member TO bill@localhost
第一条语句授予对整个member表的读权限并配置了一个口令，第二条语句增加了UPDATE权限，当只对expiration列。没必要再指定口令，因为第一条语句已指定了。
假如您想对多个列授予权限，指定一个用逗号分开的列表。例如，对assistant用户增加member表的地址字段的UPDATE权限，使用如下语句，新权限将加到用户已有的权限中：
GRANT UPDATE (street,city,state,zip) ON samp_db TO assistant@localhost
通常，您不想授予任何比用户确实需要的权限宽的权限。然而，当您想让用户能创建一个临时表以保存中间结果，但您又不想让他们在一个包含他们不应修改内容的数据库中这样做时，发生了要授予在一个数据库上的相对宽松的权限。您能够通过建立一个分开的数据库（如tmp）并授予开数据库上的任何权限来进行。例如，假如您想让来自mars.net域中主机的任何用户使用tmp数据库，您能够发出这样的GRANT语句：
GRANT ALL ON tmp.* TO ""@mars.net
在您做完之后，用户能够创建并用tmp.tbl_name形式引用tmp中的表（在用户指定符中的""创建一个匿名用户，任何用户均匹配空白用户名）。
1.3 用户应该被允许管理权限吗？
您能够允许一个数据库的拥有者通过授予数据库上的任何拥有者权限来控制数据库的访问，在授权时，指定WITH GRANT OPTION。例如：假如您想让alicia能从big.corp.com域的任何主机连接并具备sales数据库中任何表的管理员权限，您能够用如下GRANT语句：
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
