mysql不支持一条create user或grant语句批量创建或授权多个用户，必须拆分为独立语句；8.0+可用角色简化批量授权，但需严格完成启用角色、创建角色、赋权、授角色、设默认角色五步闭环。
MySQL 不支持一条 CREATE USER 或 GRANT 语句批量创建多个用户或一次性授给多个用户——这是语法硬限制，不是权限或配置问题。必须拆成独立语句，靠脚本生成或循环执行。
为什么不能写 CREATE USER 'u1'@'%', 'u2'@'%'？
MySQL 解析器明确拒绝逗号分隔的多用户写法，直接报错 ERROR 1064 (42000)。这不是版本差异，8.0 和 5.7 都一样。官方语法只允许单个 'username'@'host' 出现在 CREATE USER 后面。
- 错误示例：
CREATE USER 'a'@'%', 'b'@'%';→ 必然失败 - 正确写法：每用户一行，
CREATE USER 'a'@'%'; CREATE USER 'b'@'%'; - 若用户名来自 CSV 或数组，用 shell 的
while read或 Python 的for user in users:生成语句，别手敲
GRANT 怎么批量授相同权限给多个用户？
同样不支持 GRANT SELECT ON db.* TO 'u1'@'%', 'u2'@'%'。必须先确保所有用户已存在，再对每个用户单独执行 GRANT。
- 顺序不能颠倒：先
CREATE USER全部完成，再统一GRANT，避免部分用户建了但没权限 - 主机名要精确匹配：
'u1'@'10.20.%'和'u1'@'%'是两个不同账号，授权时必须一致 - 推荐把建用户和授权分成两个 SQL 文件（如
users.sql和grants.sql），分开执行、分别校验 - 每条
GRANT后加FLUSH PRIVILEGES;更稳妥，尤其在批量场景下
MySQL 8.0+ 用角色（ROLE）真的能简化批量授权吗？
能，但前提是走完四步闭环：启用角色支持 → 创建角色 → 给角色赋权 → 把角色授予用户 → 设默认角色。漏任何一步，权限就不生效。
- 检查前提：
SELECT VERSION();必须 ≥ 8.0.1；SHOW VARIABLES LIKE 'activate_all_roles_on_login';必须为ON；SELECT 1 FROM mysql.role_edges LIMIT 1;不能报错 - 创建并授权角色：
CREATE ROLE 'app_reader'@'%'; GRANT SELECT ON mydb.* TO 'app_reader'@'%'; FLUSH PRIVILEGES; - 授角色给用户：
GRANT 'app_reader'@'%' TO 'u1'@'10.20.%', 'u2'@'10.20.%';—— 这里才真正支持逗号分隔多个用户 - 设默认角色：
ALTER USER 'u1'@'10.20.%' DEFAULT ROLE 'app_reader'@'%';，否则用户登录后仍需手动SET ROLE
密码含特殊字符或批量量大时怎么避免出错？
命令行直接拼接密码极易被 shell 解析破坏（比如 $、'、\），也容易泄露到进程列表或历史记录。
- 绝对不要用：
mysql -e "CREATE USER 'x'@'%' IDENTIFIED BY 'p@ss$word';" - 改用 here-doc 或 stdin：
mysql - 密码策略要提前检查：
SELECT @@validate_password.length, @@validate_password.policy;，简单密码会被拦截 - 生产环境禁用
'%'主机名，用具体 IP 段如'10.20.100.%'，减少攻击面
真正容易被忽略的点是：角色功能看似省事，但 activate_all_roles_on_login=ON 是全局动态变量，MySQL 重启就失效——必须写进 my.cnf 才能持久。没这一步，第二天批量授权脚本全挂，还查不出原因。
