1. Estás agregando usuarios que tienen privilegios para hacer TODO, no solamente SELECT.
2. Si va a acceder en forma remota no puede ir "localhost" sino "%", que implica precisamente que se conectan desde cualquier parte. Localhost es la computadora local, es decir, donde el usuario está trabajando.
3. Si quieres restringir el acceso de un usuario a ciertas bases, entonces debes determinar previamente a qué bases, una a una.
Por favor, revisa esto:
Gestión de cuentas de usuario