mysql 8.0的role功能可用但默认关闭，需先执行set persist role_support = on并重启或set global role_support = on；创建角色后须依次授权、绑定用户、设置默认角色或显式激活，缺一不可。
MySQL 8.0 的 Role 功能是否可用？
可用，但默认关闭——mysql.role_edges 表存在且非空时才真正启用角色功能。安装后首次启动 MySQL 8.0，role_edges 是空表，CREATE ROLE 会报错：ERROR 3719 (HY000): 'role_admin'@'%' is not authorized to create roles。这不是权限不足，而是角色系统未激活。
必须先执行：
SET PERSIST role_support = ON;再重启 mysqld（或用
SET GLOBAL role_support = ON 临时开启，但不持久）。确认方式：SELECT @@global.role_support; 返回 ON 即可。如何创建 Role 并批量赋权给用户？
Role 本质是权限容器，本身不绑定用户；需显式用 GRANT ... TO role_name 赋权，再用 GRANT role_name TO user@host 关联用户。常见误操作是跳过中间步骤，直接 GRANT SELECT ON db.* TO 'dev'@'%' WITH ROLE 'read_only' —— 这语法错误，MySQL 不支持 WITH ROLE 在 GRANT 用户时指定角色。
- 先建角色：
CREATE ROLE 'read_only', 'dev_admin'; - 再授予权限：
GRANT SELECT ON myapp.* TO 'read_only';、GRANT INSERT, UPDATE ON myapp.logs TO 'dev_admin'; - 最后绑定用户：
GRANT 'read_only' TO 'alice'@'10.20.%';、GRANT 'dev_admin' TO 'bob'@'10.20.%'; - 用户登录后需主动激活角色：
SET ROLE 'read_only';（否则权限不生效）；也可设默认角色：SET DEFAULT ROLE 'read_only' TO 'alice'@'10.20.%';
为什么用户登录后权限没生效？
因为 MySQL 8.0 默认不自动激活任何角色，即使已用 GRANT role TO user 绑定。用户连接后处于“无活跃角色”状态，CURRENT_ROLE() 返回 NONE，所有角色权限均不可见。
解决方式有二：
- 显式激活：
SET ROLE 'read_only';或SET ROLE ALL;（激活所有被授予的角色） - 设默认角色（推荐）：
ALTER USER 'alice'@'10.20.%' DEFAULT ROLE 'read_only';。此后该用户每次登录自动激活该角色，无需手动SET ROLE
注意：DEFAULT ROLE 必须是用户已被 GRANT 过的角色，否则报错 ERROR 3530 (HY000): Cannot grant to a role that has not been granted to the user。
Role 权限继承与撤销的坑点
Role 权限不传递：A 角色被授给 B 角色（GRANT A TO B），B 再授给用户，用户无法获得 A 的权限——MySQL 不支持角色嵌套授权，role_edges 表只记录用户→角色、角色→角色（仅用于间接管理，不触发权限继承）。
撤销权限要分两步：
- 撤角色对对象的权限：
REVOKE SELECT ON myapp.* FROM 'read_only'; - 撤用户对角色的持有：
REVOKE 'read_only' FROM 'alice'@'10.20.%';
只做其一，另一方仍保留对应能力。另外，DROP ROLE 会级联清除 role_edges 中所有关联记录，但不会自动回收已通过该角色获得权限的用户的当前会话权限——已激活角色的会话仍有效，直到断开重连。
最易忽略的是：角色权限变更（如新增 GRANT DELETE）对已激活角色的会话不实时生效，必须重新 SET ROLE 或重新登录。
