mysql 8.0+ 应用角色（role）实现dba权限隔离，通过create role建角色、grant最小权限、set default role解耦用户与职责，并剥离super/process等高危权限，辅以current_role()校验操作上下文安全。
不能直接创建“管理员用户”——MySQL没有“管理员角色”这个内置概念，所谓管理员，就是被授予 ALL PRIVILEGES 且作用域为 *.* 的普通用户。但这么做风险极高，绝大多数场景下不该这么做。
为什么不该用 GRANT ALL PRIVILEGES ON *.* 创建管理员
这条命令会让用户拥有包括 CREATE USER、SHUTDOWN、RELOAD（可执行 FLUSH PRIVILEGES）、甚至修改系统表的权限。一旦该账户密码泄露或被注入，整个 MySQL 实例可能被接管或清空。
- MySQL 8.0+ 默认禁用
root远程登录，就是出于此考虑 -
WITH GRANT OPTION更危险：用户能把自己权限再转授他人，权限链失控后无法溯源 - 审计合规（如等保2.0、GDPR）明确要求最小权限原则，
*.*几乎必然不通过
CREATE USER 必须指定 host，别漏掉引号和 @ 符号
常见错误是写成 CREATE USER newadmin IDENTIFIED BY 'pwd' —— 这实际等价于 'newadmin'@'%'，意味着允许任意 IP 连接，且没加单引号，语句会报错。
- 本地管理用户应固定为
'adminops'@'localhost'，禁止% - 如果必须远程管理（如跳板机），用具体 IP 或 CIDR，例如
'adminops'@'192.168.10.5'或'adminops'@'10.0.0.0/24' - 用户名和 host 都必须用单引号包裹，
@是语法分隔符，不可省略
真正安全的“类管理员”权限组合
用多个 GRANT 显式声明所需能力，避开高危权限。例如运维人员需要建库、查慢日志、杀连接，但不需要删系统表：
-
GRANT SELECT, INSERT, UPDATE, DELETE ON mysql.* TO 'adminops'@'localhost';（只读+改监控表，如slow_log、general_log） -
GRANT CREATE, DROP, ALTER, INDEX ON *.* TO 'adminops'@'localhost';（建库建表，但不含CREATE USER） -
GRANT PROCESS, REPLICATION CLIENT ON *.* TO 'adminops'@'localhost';（看线程、查主从状态） -
GRANT SUPER ON *.* TO 'adminops'@'localhost';（仅在 MySQL 5.7 及更早版本中需此权限来 kill 连接；8.0+ 应用CONNECTION_ADMIN替代）
执行完记得 FLUSH PRIVILEGES;，否则权限不生效。
MySQL 8.0+ 推荐用角色替代“伪管理员”
角色能解耦权限定义与用户绑定，更适合团队协作：
- 先建角色：
CREATE ROLE 'db_ops'; - 把上面几条
GRANT改为授给角色：GRANT SELECT ON mysql.* TO 'db_ops';… - 再把角色赋给用户：
GRANT 'db_ops' TO 'adminops'@'localhost'; - 启用角色：
SET DEFAULT ROLE 'db_ops' TO 'adminops'@'localhost';
后续新增同类用户，只需 GRANT 'db_ops' TO ...；调整权限，改角色即可，所有绑定用户自动同步——这才是可维护的“管理员权限”管理方式。
最易被忽略的一点：哪怕用了角色，host 值仍决定网络可达性，'adminops'@'localhost' 和 'adminops'@'127.0.0.1' 在 MySQL 中是两个不同用户，Unix socket 和 TCP 连接走的是不同认证路径。
