mysql 8.0.1+才支持create role，5.7及更早版本直接报语法错误；角色需显式授权并执行set default role才能生效，且支持嵌套但禁止循环引用。
MySQL 8.0+ 才支持 CREATE ROLE，低版本直接报错
MySQL 角色功能从 8.0.1 版本开始引入，5.7 及更早版本执行 CREATE ROLE 会报错 ERROR 1064 (42000) 或提示语法错误。不是配置问题，是根本没这个功能。
- 检查版本：运行
SELECT VERSION();，确认输出以8.0.开头 - 如果用的是云数据库（如阿里云 RDS、腾讯云 CDB），需确认控制台显示的内核版本是否为 8.0+，有些实例默认仍为 5.7
- MySQL 8.0.16 之前，角色不能被授予给当前登录用户（即不能
GRANT role TO CURRENT_USER），升级前留意
创建角色后必须显式 GRANT 权限，角色默认不带任何权限
角色本身只是权限容器，新建的 role_reporter 不会自动拥有查表能力，连 SELECT 都要手动加。
- 正确做法：
CREATE ROLE role_reporter; GRANT SELECT ON sales.* TO role_reporter; - 常见错误：建完角色就急着
GRANT role_reporter TO 'alice'@'%'，结果 alice 登录后执行SELECT仍报ERROR 1142 (42000): SELECT command denied - 权限可以跨库授予，比如
GRANT SELECT ON shop.products TO role_reporter和GRANT SELECT ON finance.invoices TO role_reporter可共存 - 注意作用域：对表级授权用
GRANT SELECT ON db.table，对列级则需单独写，角色也支持（如GRANT SELECT(id,name) ON users TO role_reader）
SET DEFAULT ROLE 是激活角色的关键，否则授权了也不生效
给用户赋予角色只是“分配资格”，不等于“启用”。用户连接后默认不激活任何角色，得靠 SET DEFAULT ROLE 指定哪些角色在会话中生效。
- 激活方式一（对单个用户设默认）：
SET DEFAULT ROLE role_reporter TO 'alice'@'%'; - 激活方式二（登录时临时启用）：
SET ROLE role_reporter;（仅当前会话有效） - 常见坑：忘记执行
SET DEFAULT ROLE，导致用户始终拿不到角色权限，排查时容易误判为GRANT没生效 - 若用户有多个角色，可一次性设默认：
SET DEFAULT ROLE role_reporter, role_analyst TO 'alice'@'%'; - 注意：该语句要求用户有
ROLE_ADMIN权限，普通 DBA 账号可能需要先GRANT ROLE_ADMIN ON *.* TO 'dba'@'%';
角色嵌套（GRANT role_a TO role_b）能简化层级，但循环引用会失败
角色可以作为“权限组”再授给另一个角色，适合按职能分层管理，比如把 role_readonly 加进 role_dev，但必须避免 A→B→A 这类闭环。
- 合法嵌套：
CREATE ROLE role_readonly; CREATE ROLE role_dev; GRANT role_readonly TO role_dev; - 触发报错的操作：
GRANT role_dev TO role_readonly;→ 报ERROR 3530 (HY000): Cannot grant role 'role_dev' to 'role_readonly' because it would create a cycle - 嵌套后，用户只需被授予顶层角色（如
role_dev），即可继承所有下层权限，无需重复GRANT - 权限合并规则：多个角色授予同一对象的冲突权限（如一个给
SELECT，另一个撤掉SELECT）——MySQL 不支持REVOKE单个角色的某权限，只能整体收回角色
角色不是黑盒开关，它把权限拆成可复用的模块，但每个模块仍需独立维护、显式激活；最常被跳过的一步是 SET DEFAULT ROLE，而不是建角色或赋权本身。
