MySQL 8.0如何利用角色Role管理权限_使用CREATE ROLE和GRANT语句-mysql教程-PHP中文网

CREATE ROLE 本身不赋权也不生效，需依次执行 GRANT 权限给角色、GRANT 角色给用户、SET DEFAULT ROLE 三步才能启用权限；版本低于8.0.1会报ERROR 1064，ERROR 3719/3530则需启用 activate_all_roles_on_login 并检查权限与语法。

mysql 8.0如何利用角色role管理权限_使用create role和grant语句

CREATE ROLE 语句本身不会赋予任何权限，也不自动生效；必须配合 GRANT 权限给角色、GRANT 角色给用户、SET DEFAULT ROLE 三步才能让权限真正可用。

CREATE ROLE 报错 ERROR 1064 或 ERROR 3719 怎么办

ERROR 1064 表示 MySQL 版本低于 8.0.1，角色功能压根不存在，SELECT VERSION(); 确认版本后直接放弃使用角色；ERROR 3719（'role_admin'@'%' is not set as a role）或 ERROR 3530（Cannot grant role）则说明角色支持未启用或权限缺失。

先由 root 执行 SET GLOBAL activate_all_roles_on_login = ON;，否则所有角色操作都会失败
再执行 GRANT ROLE_ADMIN ON *.* TO 'admin_user'@'%';，普通用户无权创建/管理角色
角色名必须带单引号，如 'app_reader'；写成 `app_reader` 或 "app_reader" 可能触发语法错误
若需持久化，把 activate_all_roles_on_login=ON 加入 my.cnf 的 [mysqld] 段，否则重启失效

GRANT 权限给角色 vs GRANT 角色给用户，两步不能合并

这是最常被跳过的逻辑断点：对角色授予权限（GRANT SELECT ON mydb.* TO 'app_reader';）只是填充容器；把角色授予用户（GRANT 'app_reader' TO 'api_user'@'%';）只是建立绑定关系——两者都不等于“权限已生效”。

角色不支持 WITH GRANT OPTION，加了会报 ERROR 3529；如需传递权限，只能由有 GRANT OPTION 的用户操作
角色不支持列级权限，GRANT SELECT(col1) ON t1 TO 'r1'; 会直接报错
角色名若含特殊字符（如 -），必须用反引号：GRANT SELECT ON logs.* TO `ci-pipeline`;
执行完 GRANT 给角色后，建议立即执行 FLUSH PRIVILEGES;，尤其在旧版客户端中，避免权限缓存延迟

为什么 SHOW GRANTS 看不到角色权限，但用户还是没权限

SHOW GRANTS FOR 'user'@'host'; 默认只显示直授权限，完全不展开角色内容。看起来空空如也，不代表没配好；而用户登录后 CURRENT_ROLE() 返回 NULL，才是真正的问题信号。

MySQL8 CRM Schema Design Expert

面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。

下载

查用户绑定了哪些角色：SELECT * FROM mysql.role_edges WHERE to_user = 'user' AND to_host = '%';
查角色本身有哪些权限：SHOW GRANTS FOR 'app_reader';
查该用户通过某角色获得的权限：SHOW GRANTS FOR 'user'@'host' USING 'app_reader';
确认当前会话激活状态：SELECT CURRENT_ROLE(); —— 返回 NULL 就说明没激活，哪怕角色已授予
激活必须靠 SET DEFAULT ROLE 'app_reader' TO 'user'@'host';（管理员执行）或用户自己执行 SET ROLE 'app_reader';（需有 ROLE_ADMIN）

权限回收和默认角色设置的硬性前提

回收权限时，FROM 后面的对象类型决定影响范围；设默认角色看似简单，但漏掉任一前提都会静默失败。

REVOKE SELECT ON mydb.* FROM 'app_reader'; → 从角色移除权限，所有持有该角色的用户立即失效
REVOKE SELECT ON mydb.* FROM 'user'@'host'; → 只影响该用户的直授权限，角色继承权限不受影响
SET DEFAULT ROLE 'app_reader' TO 'user'@'host'; 前提有三：执行者有 ROLE_ADMIN 权限、目标角色已被 GRANT 过权限、用户账户已存在（哪怕只有 USAGE）
若跳过 GRANT ... TO 'app_reader' 就设默认角色，用户登录后 SHOW GRANTS USING 'app_reader'; 仍为空，权限实际为零
一个用户可被授予多个角色，但 SET DEFAULT ROLE ALL TO 'user'@'host'; 会违反最小权限原则，生产环境慎用