mysql 8.0角色权限生效需四步：建角色→赋权→确认用户存在→grant角色并set default role激活；仅grant角色不激活则权限无效，且host必须精确匹配、执行者需具备application_password_admin权限。
必须分四步走：建角色 → 给角色赋权 → 创建/确认用户存在 → 批量绑定 + 激活，默认不生效。只执行 GRANT 'dev_role' TO 'u1'@'%', 'u2'@'%' 是无效的，权限不会落地，用户登录后 CURRENT_ROLE() 仍是 NULL。
CREATE ROLE 后必须立刻 GRANT 权限，否则角色是空壳
角色不是“账号”，它不自带任何权限。执行 CREATE ROLE 'dev_role' 只是在 mysql.role_edges 插入元数据，没赋权就等于没配置。
-
GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, DROP, ALTER, INDEX, CREATE VIEW, SHOW VIEW, EXECUTE ON dev_db.* TO 'dev_role'—— 这才是给角色装上真实能力 - 角色名含特殊字符（如
-、.）必须用反引号，例如GRANT SELECT ON logs.* TO `ci-pipeline` - 不能对角色授列级权限：
GRANT SELECT(col1) ON t1 TO 'dev_role'会报错 - 系统级权限（如
SHOW DATABASES）可授给角色，但加WITH GRANT OPTION会失败
GRANT 角色给多个用户支持逗号语法，但 host 必须精确匹配
MySQL 支持一次性绑定多个用户，但前提是这些用户已存在，且 host 部分完全一致（或你明确知道它们都存在）：
MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。
- 正确写法：
GRANT 'dev_role' TO 'dev1'@'192.168.50.%', 'dev2'@'192.168.50.%', 'dev3'@'192.168.50.%' - 错误写法：
GRANT 'dev_role' TO 'dev1'@'%', 'dev2'@'localhost'——host不统一，后续SET DEFAULT ROLE会因匹配失败而报错 - 如果用户还不存在，得先
CREATE USER；否则GRANT会静默跳过（无报错但不生效）
SET DEFAULT ROLE ALL TO 是批量激活的关键，但需权限和前提
仅 GRANT 'dev_role' TO ... 不会让权限可用。用户登录后仍无权操作，必须显式激活：
- 激活全部已授予角色：
SET DEFAULT ROLE ALL TO 'dev1'@'192.168.50.%', 'dev2'@'192.168.50.%', 'dev3'@'192.168.50.%' - 执行者需具备
APPLICATION_PASSWORD_ADMIN或SYSTEM_VARIABLES_ADMIN权限，普通用户无法运行 - 若某用户未被授予任何角色，
SET DEFAULT ROLE ALL TO会报ERROR 3530 - 全局自动激活（非推荐）：
SET PERSIST activate_all_roles_on_login = ON，但新连接才生效，已有连接不受影响
验证是否真生效，别信 SHOW GRANTS FOR 的表面结果
SHOW GRANTS FOR 'dev1'@'192.168.50.%' 只显示 GRANT 'dev_role' TO ...，**不会展开角色内权限**——这不是配错了，是 MySQL 默认行为。
- 查角色实际权限：
SHOW GRANTS FOR 'dev_role' - 查用户在角色上下文中的真实权限：
SHOW GRANTS FOR 'dev1'@'192.168.50.%' USING 'dev_role' - 确认会话是否激活：
SELECT CURRENT_ROLE()，返回'dev_role'才算成功 - 检查绑定关系：
SELECT * FROM mysql.role_edges WHERE to_user = 'dev1' AND to_host = '192.168.50.%'
最容易忽略的是 host 匹配和 SET DEFAULT ROLE 的权限要求。哪怕所有语句都写对了，只要管理员账号没 APPLICATION_PASSWORD_ADMIN，或者用户 host 写成 '%' 而实际连的是 'localhost'，整个流程就卡在“看起来成功，实则无效”这一步。
