SELECT権限しか付けていないユーザーを作成したが、INSERTもUPDATEもすべてできてしまう。
なぜだろう・・・と10分悩んだ。

先頭に“test_”がつくデータベース名は特殊扱い。
MySQL側で権限を無視するらしい・・・。
知らなかった。

MySQL 5.1 リファレンスマニュアル :: 2.10.2 Unix のインストール後のプロシージャ

公式リファレンスに書いてありました。