set role 只能单次激活一个角色，权限覆盖而非叠加；多角色需用 set default role 预设并绑定用户，由管理员执行；验证权限应使用 show grants ... using、current_role() 等方式。
SET ROLE 不能叠加激活多个角色，只能单次切换到一个角色；要同时生效多个角色权限，必须用 SET DEFAULT ROLE 预设默认组合。
SET ROLE 切换时权限是覆盖式，不是追加式
执行 SET ROLE 'app_reader' 后，当前会话中之前激活的 'app_writer' 权限立刻失效。这不是 bug，而是 MySQL 的会话级角色模型设计：每次 SET ROLE 都会清空已有角色上下文，只保留新指定的一个角色。
- 想临时切到只读模式？
SET ROLE 'app_reader'即可 - 再切回写权限？必须显式执行
SET ROLE 'app_writer'，不能靠“恢复上一个” - 若当前会话没激活任何角色，
SELECT CURRENT_ROLE()返回NULL，不是报错也不是空字符串
为什么 SET ROLE 'role_a', 'role_b' 会报错？
MySQL 不支持逗号分隔多角色的 SET ROLE 语法——这种写法在任何版本都会触发 ERROR 1064 (42000)。官方只允许单角色字面量或标识符：
- 8.0.12+ 推荐：
SET ROLE 'app_reader'（带引号，支持含横线等特殊字符） - 8.0.2–8.0.11 必须：
SET ROLE app_reader（不加引号，且角色名需为合法标识符） - 想让多个角色同时生效？别用
SET ROLE，改用SET DEFAULT ROLE 'app_reader', 'app_writer' TO 'dev1'@'%'
SET DEFAULT ROLE 是唯一支持多角色自动激活的方式
用户登录时自动启用多个角色，靠的是 SET DEFAULT ROLE，不是 SET ROLE。它把角色绑定到用户账号上，并决定每次新连接的初始权限状态：
- 激活两个角色：
SET DEFAULT ROLE 'api_ro', 'metrics_reader' TO 'svc_api'@'%' - 禁用所有默认角色：
SET DEFAULT ROLE NONE TO 'svc_api'@'%' - 激活全部已授予角色：
SET DEFAULT ROLE ALL TO 'svc_api'@'%'（但要求每个角色都已通过GRANT ... TO显式绑定） - 注意：
SET DEFAULT ROLE必须由有ROLE_ADMIN或SYSTEM_VARIABLES_ADMIN权限的管理员执行，普通用户无法自行设置
验证角色是否真在起作用，别只看 SHOW GRANTS
SHOW GRANTS FOR 'dev1'@'%' 只显示角色绑定关系，比如 GRANT 'app_reader' TO 'dev1'@'%'，完全不体现该角色实际包含哪些表级权限。要确认权限是否落地：
- 查真实生效权限：
SHOW GRANTS FOR 'dev1'@'%' USING 'app_reader' - 查当前会话激活了谁：
SELECT CURRENT_ROLE() - 查用户被授了哪些角色：
SELECT * FROM mysql.role_edges WHERE to_user = 'dev1' AND to_host = '%' - 旧版客户端（如 MySQL 5.7 客户端连 8.0 服务端）可能忽略角色信息，务必用
mysql --version ≥ 8.0.11验证
角色名大小写敏感，含 -、. 或关键字时必须用反引号包裹；权限变更对已存在连接不生效，重连或配置连接池初始化 SQL（如 connection-init-sql=SET ROLE 'xxx'）才能刷新。
