mysql 8.0角色权限生效必须完成三步：grant权限给角色、grant角色给用户、显式激活（set role或set default role）；缺一即报error 1142，current_role()返回null表明未激活。
MySQL 8.0+ 原生支持 RBAC，但角色不是“建完就生效”的开关——必须完成 GRANT 权限给角色、GRANT 角色给用户、再显式激活三步，缺一不可；否则用户登录后执行任何操作都会报 ERROR 1142 (42000)。
CREATE ROLE 后为什么用户还是没权限？
刚执行 CREATE ROLE 'analyst' 的角色是空容器：它在 mysql.role_edges 表里有记录，但在 mysql.tables_priv 等权限表中查不到任何授权条目。权限不会自动继承或默认赋予。
- 必须单独执行
GRANT SELECT ON sales.* TO 'analyst'才真正赋予该角色权限 -
SHOW GRANTS FOR 'analyst'是唯一能确认角色是否已有权限的命令 - 角色可被多次
GRANT，权限会叠加（无去重），比如两次GRANT INSERT ON logs.* TO 'analyst'不会报错，但也没坏处
用户被授予角色后仍报 “SELECT command denied” 怎么办？
这是最常见误判点：授予角色（GRANT 'analyst' TO 'dev_user'@'%'）≠ 当前会话拥有权限。MySQL 8.0 默认不激活角色，必须显式激活。
MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。
- 下次登录即生效：
ALTER USER 'dev_user'@'%' DEFAULT ROLE 'analyst' - 当前会话临时生效：
SET ROLE 'analyst'，断开连接就失效 - 全局开关（慎用）：
SET PERSIST activate_all_roles_on_login = ON，影响所有新连接 - 检查是否激活：
SELECT CURRENT_ROLE()返回'analyst'才算成功；SHOW GRANTS FOR 'dev_user'@'%'只显示“被授过哪些角色”，不反映实际生效状态
mandatory_roles 配置为什么删不掉角色？
如果在 my.cnf 中设置了 mandatory_roles = 'auditor'@'%'，或运行了 SET PERSIST mandatory_roles = '''auditor''@''%'''，这个角色就变成隐形强制项：
- 所有用户（含
root）新登录时都会自动获得该角色权限，且无法通过REVOKE或DROP ROLE删除 - 它不出现在
SHOW GRANTS FOR user结果中，但会出现在CURRENT_ROLE()返回值里 - 清空只能用
SET PERSIST mandatory_roles = ''，没有其他绕过方式 - 修改后已有连接不受影响，仅新连接生效——这点容易被忽略，导致误以为配置没生效
RBA C 在 MySQL 里真正复杂的地方不在建表或赋权，而在于“激活”这个隐式环节：权限链路是 GRANT → GRANT → SET DEFAULT ROLE / SET ROLE / activate_all_roles_on_login，中间漏掉任意一环，整个模型就静默失效。别只查 SHOW GRANTS，一定要用 CURRENT_ROLE() 验证。
