mysql 8.0+才支持真正“一键更新”用户权限；5.7及更早版本无角色功能，硬套create role会报错或导致权限失控，必须用脚本逐个grant/revoke。
MySQL 8.0+ 才能真正“一键更新”大批量用户权限；5.7 及更早版本没有角色，硬套 CREATE ROLE 会报错或导致权限堆叠、维护失控。
确认 MySQL 版本是前提，不是可选项
执行 SELECT VERSION(); —— 如果返回值小于 8.0.0，立刻停手。角色功能在 5.7 中不存在，任何模仿 CREATE ROLE 或 GRANT 'role' TO ... 的写法都会触发语法错误或被忽略。此时只能用脚本批量生成 GRANT/REVOKE 语句，逐个用户处理，无法做到“统一模板+一键生效”。
创建角色并授予权限：三步不能少
角色不是“声明即生效”的配置项，必须走完创建 → 授权 → 分配三步链路：
-
CREATE ROLE 'report_reader';（角色名带引号，必须显式创建） -
GRANT SELECT ON sales.* TO 'report_reader';（只授所需权限，不加WITH GRANT OPTION就别想再转授） -
GRANT 'report_reader' TO 'u1'@'%', 'u2'@'%', 'u3'@'%';（可一次批量绑定多个用户）
漏掉任意一步，后续 SET ROLE 或权限检查都会失败。特别注意：GRANT 对角色授予权限时，ON 后必须写明库名，GRANT SELECT ON *.table 是非法语法。
让新权限对现有用户“立刻可见”的关键动作
执行完 GRANT 'report_reader' TO ... 后，已有连接不会自动获得新权限——MySQL 权限快照只在连接建立时加载一次。常见误判场景：
- DBA 在终端执行了授权，开发人员刷新页面仍报
ERROR 1142 (42000): SELECT command denied - 用连接池（如 HikariCP）的应用，重启服务前一直走旧权限
解决方法分两类：
- 对单个用户会话：登录后手动执行
SET ROLE 'report_reader'; - 对所有新连接：全局启用自动激活
SET PERSIST activate_all_roles_on_login = ON;（推荐）
注意：FLUSH PRIVILEGES 对角色权限完全无效，别白费力气。
批量修改权限的本质是改角色，不是改用户
这才是“一键更新”的核心逻辑：后续所有权限调整，只动角色定义，不动用户绑定关系。
- 要新增查询权限？
GRANT SELECT ON finance.* TO 'report_reader'; - 要禁用导出能力？
REVOKE FILE ON *.* FROM 'report_reader';（前提是之前授过） - 要彻底移除某类操作？直接
REVOKE UPDATE ON sales.* FROM 'report_reader';
改完后，所有已绑定该角色的用户，下次新建连接或执行 SET ROLE 就立即生效。但务必记住：角色权限不继承到未来新建的数据库——比如之后建了 archive_db，需单独 GRANT SELECT ON archive_db.* TO 'report_reader'，否则用户查不了。
最容易被忽略的是角色嵌套层级和权限叠加逻辑：一个用户可能同时拥有直授权限 + 多个角色 + 默认角色，SHOW GRANTS FOR 'u'@'%' 只显示直授项，查不到角色内权限。真要审计完整权限集，得结合 SELECT * FROM mysql.role_edges 和 SHOW GRANTS FOR 'u'@'%' USING 'report_reader' 手动拼合。
