mysql 8.0+支持grant 'role' to 'u1'@'h', 'u2'@'h'批量授角色，但不支持直接grant权限到多用户；必须确保用户已存在、角色已赋权、并执行set default role才能生效。
GRANT role_name TO 支持逗号分隔多个用户，但仅限角色授予
MySQL 8.0+ 确实支持一条 GRANT 语句批量把**同一个角色**授予多个用户，语法合法且高效。这是角色机制相比传统 GRANT 直接授予权限的少数关键优势之一。
常见错误是误以为能用同样写法批量赋权给多个用户（如 GRANT SELECT ON db.* TO 'u1'@'%', 'u2'@'%'），那会直接报 ERROR 1064 (42000)——只有对角色才允许逗号分隔。
-
GRANT 'app_reader'@'%' TO 'u1'@'10.20.%', 'u2'@'10.20.%', 'u3'@'10.20.%';✅ 合法 -
GRANT SELECT ON mydb.* TO 'u1'@'%', 'u2'@'%';❌ 报错，必须拆成多条 - 主机名必须精确匹配：不能混用
'u1'@'10.20.%'和'u1'@'%'，它们是两个不同账号
批量授角色前必须确保用户已存在
MySQL 不检查被授角色的用户是否存在，GRANT 'role' TO 'nonexistent'@'%' 会静默成功，但该语句实际无效——后续用户登录时无法继承权限，也查不到绑定关系。
所以批量操作必须严格分两步走：
- 先用
CREATE USER或ALTER USER确保所有目标用户账户已创建并启用 - 再统一执行
GRANT role_name TO ...批量绑定 - 推荐用
SELECT User, Host FROM mysql.user WHERE User IN ('u1','u2','u3');校验用户存在性，避免“看似成功、实则失效”
SET DEFAULT ROLE ALL TO 是权限生效的硬门槛
即使 GRANT 'role' TO 'u1'@'%' 成功执行，用户登录后 CURRENT_ROLE() 仍返回 NULL，所有角色权限不可用。不设默认角色，等于白授。
必须显式激活，默认不自动生效：
-
SET DEFAULT ROLE ALL TO 'u1'@'%', 'u2'@'%', 'u3'@'%';—— 一次性为多个用户设全部已授角色为默认 - 或逐个指定：
SET DEFAULT ROLE 'app_reader'@'%' TO 'u1'@'%'; - 注意：执行者需有
APPLICATION_PASSWORD_ADMIN或SYSTEM_VARIABLES_ADMIN权限，普通用户无法操作 - 若全局开启
activate_all_roles_on_login = ON，可跳过此步，但该变量需用SET PERSIST持久化，重启不失效
DROP ROLE 前必须先清理绑定，否则报错 ERROR 3530
角色被用户持有时，DROP ROLE 'app_reader'@'%' 会失败并提示 Cannot drop role ... because it is granted to one or more users。这不是警告，是阻断性错误。
批量解绑需反向操作：
- 先查谁用了这个角色：
SELECT FROM_USER, FROM_HOST FROM mysql.role_edges WHERE TO_ROLE = '%app_reader%'; - 再批量撤销：
REVOKE 'app_reader'@'%' FROM 'u1'@'10.20.%', 'u2'@'10.20.%'; - 最后才能安全
DROP ROLE 'app_reader'@'%' - 别忽略
@'%'后缀：创建时用了'app_reader'@'%'，撤销和删除时也必须带，否则操作的是另一个角色
角色批量授权真正省力的地方不在“写得少”，而在“改得快”——后续只需改一次角色权限，所有已绑定用户自动继承。但前提是每一步都闭环：用户存在 → 角色创建并赋权 → 角色授予用户 → 设默认角色 → （可选）全局激活开关。漏掉任一环，权限就卡在中间不动。
