mysql 8.0角色功能需四步闭环：启用支持→创建角色→授予角色权限→绑定并激活角色给用户；缺一不可，否则current_role()返回null、权限不生效。
MySQL 8.0 的角色功能不是“建完就能用”，必须完成四步闭环：启用支持 → 创建角色 → 授予角色权限 → 绑定并激活角色给用户；漏掉任一环，CURRENT_ROLE() 返回 NULL，权限实际不生效。
CREATE ROLE 前必须先开启全局开关
MySQL 8.0 默认关闭角色功能，CREATE ROLE 会直接报错 ERROR 3719 (HY000) 或静默失败。这不是语法问题，而是全局变量未启用。
- 由
root或高权限用户执行：SET GLOBAL activate_all_roles_on_login = ON; - 同时授予管理权限：
GRANT ROLE_ADMIN ON *.* TO 'admin_user'@'%'; - 执行
FLUSH PRIVILEGES;确保元数据刷新 - 生产环境必须写入配置文件持久化：
activate_all_roles_on_login=ON加到my.cnf的[mysqld]段下，否则重启后失效
GRANT 权限必须明确授给角色，不是授给用户
常见错误是把角色当用户用，比如 GRANT SELECT ON myapp.* TO 'user1'@'%' —— 这绕过了角色机制，起不到批量管理作用。
- 正确做法是两步分离：
GRANT SELECT ON myapp.* TO 'app_reader'@'%';（给角色赋权） - 角色名必须带主机名，推荐用
'app_reader'@'%'，避免后续GRANT 'app_reader' TO 'user1'@'localhost'因主机不匹配失败 - 角色不支持列级授权：
GRANT SELECT(id) ON t1 TO 'app_reader'会报ERROR 1142 - 角色不支持
WITH GRANT OPTION，但可用WITH ADMIN OPTION允许该角色再被授予其他用户
GRANT role TO user 不等于权限已生效
这一步只是建立绑定关系，在 mysql.role_edges 表中插入记录，不会自动激活权限。用户登录后仍会看到 Access denied。
- 必须显式执行：
SET DEFAULT ROLE 'app_reader' TO 'user1'@'%'; - 如果用户已被授予多个角色，可设为默认全部激活：
SET DEFAULT ROLE ALL TO 'user1'@'%';（但违背最小权限原则，慎用） -
SET DEFAULT ROLE需要SYSTEM_VARIABLES_ADMIN或APPLICATION_PASSWORD_ADMIN权限，普通用户无法自行执行 - 注意 host 必须严格匹配：若角色是
'app_reader'@'%'，就不能对'user1'@'localhost'设默认角色
验证是否真正生效不能只看 SHOW GRANTS
SHOW GRANTS FOR 'user1'@'%' 默认只显示直授权限，不会展开角色继承链——这是设计行为，不是配置失败。
- 查角色带来的真实权限：
SHOW GRANTS FOR 'user1'@'%' USING 'app_reader'; - 确认当前会话是否激活：
SELECT CURRENT_ROLE();，返回非NULL值才算成功 - 查用户被授予了哪些角色：
SELECT * FROM mysql.role_edges WHERE to_user = 'user1' AND to_host = '%'; - 旧版客户端（如 MySQL 5.7 客户端连 8.0 服务端）可能忽略角色信息，建议用
mysql --version ≥ 8.0.11验证
最易被忽略的是：即使所有语句都执行成功，只要没运行 SET DEFAULT ROLE，或 activate_all_roles_on_login 仍为 OFF，用户登录后就仍是空权限状态。验证必须用目标用户实际登录后执行 CURRENT_ROLE()，而不是在管理员会话里看日志或元数据。
