mysql 的权限控制功能虽然已经比较强大，但是是基于白名单规则，所以没法做到对除某某库，如 mysql 库以外的所有库分配权限，或者说单独禁用某个库的某些权限。虽然可以一个个库地分配，但是这样毕竟麻烦，尤其是在库的数量会动态变化的情况下。
对于 DDL 语句，也就是 create 、alter 、drop 之类，有一个特殊的办法可以做到。其实也很简单，去掉那个库所在的目录的写权限即可。例如：
chmod a-w mysql
之后，在 mysql 库上执行任意 DDL 语句都会出错。
这方法看着挺恶心，不过也没找到更好的解决办法。