mysql 8.0角色功能需三步启用：开启activate_all_roles_on_login、授予role_admin权限、执行flush privileges；role_admin仅管控角色管理权，不赋予数据库操作权；分配角色后须设默认角色并确保激活开关开启，否则current_role()返回none。
管理员权限缺失，往往不是用户没被加角色，而是 ROLE_ADMIN 权限根本没配。MySQL 8.0 的角色功能默认“锁死”——即使你用的是 8.0.33，CREATE ROLE 也会直接报错 ERROR 3719 或 ERROR 1227，除非这三件事都做完。
必须先开启角色开关并授予权限
MySQL 不像其他系统那样“装好就可用”。角色体系依赖两个硬性前提：
-
全局变量激活：执行
SET GLOBAL activate_all_roles_on_login = ON;（重启失效，建议写入my.cnf的[mysqld]段） -
显式授予 ROLE_ADMIN：由 root 或高权限账号执行，例如：
GRANT ROLE_ADMIN ON *.* TO 'admin_user'@'%'; -
立即刷新权限缓存：
FLUSH PRIVILEGES;——漏掉这步，后续所有角色操作都会静默失败
ROLE_ADMIN ≠ 管理员角色，它只是“角色管理员”资格
很多人误以为给用户授了 SELECT 或 ALL PRIVILEGES 就能建角色，其实不能。ROLE_ADMIN 是独立权限，专用于管理角色本身，包括：
- 执行
CREATE ROLE/DROP ROLE - 运行
GRANT role_name TO user和SET DEFAULT ROLE - 使用
WITH ADMIN OPTION授权他人分配特定角色
它不赋予数据库操作权（比如查表、删库），只控制“谁可以管角色”。没它，连 SHOW ROLES 都可能被拒绝。
分配后仍无权限？检查是否跳过了“激活”环节
即使 GRANT 'app_reader' TO 'user1'@'%' 成功，用户登录后依然 CURRENT_ROLE() 返回 NONE，常见断点如下：
- 没执行
SET DEFAULT ROLE 'app_reader' TO 'user1'@'%'（普通用户无法自行设置） - 虽然设了默认角色，但
activate_all_roles_on_login仍是OFF（MySQL 8.0 默认值） - 角色名主机段不匹配：比如角色是
'app_reader'@'localhost'，但用户是'user1'@'%'，则无法绑定
验证是否真正生效，请用目标用户登录后执行：SELECT CURRENT_ROLE(); —— 返回非 NONE 值才算成功；SHOW GRANTS FOR 'user1'@'%' USING 'app_reader'; —— 查看角色内实际权限是否展开。
分级授权时，ROLE_ADMIN 必须配合 WITH ADMIN OPTION 使用
若想让某人代管“备份管理员”角色，不能直接给他 GRANT OPTION（太危险），而应：
- 先创建角色：
CREATE ROLE 'backup_admin'; - 只授最小权限：
GRANT LOCK TABLES, SELECT ON *.* TO 'backup_admin'; - 再把“授角色权”交出去：
GRANT 'backup_admin' TO 'ops_lead'@'10.0.1.%' WITH ADMIN OPTION;
这样，ops_lead 只能执行 GRANT 'backup_admin' TO ...，不能越界授予 DROP 或 SUPER。权限边界清晰，且所有转授权行为可审计。
