mysql 8.0中创建角色的正确语法是create role 'role_name'[@'host']，必须用单引号包裹角色名，且需先启用activate_all_roles_on_login并授予role_admin权限；角色创建后须显式grant赋权，再grant给用户并set default role才能生效。
MySQL 8.0中创建角色的正确语法
MySQL 8.0正式支持角色（ROLE），但必须用 CREATE ROLE 显式创建，不能跳过这步直接赋权。角色名区分大小写，且需有 CREATE ROLE 权限（通常只有root或高权限用户具备）。
常见错误是误以为 GRANT ... TO 'user'@'host' 能自动创建角色——它不会，会报错 ERROR 3530 (HY000): Cannot grant to a role that does not exist。
实操建议：
- 先执行
CREATE ROLE 'analyst_role'（注意单引号） - 角色名可带@符号，如
'reporter'@'10.%.%.%'，但一般推荐不带host限定，便于复用 - 创建后可用
SELECT * FROM mysql.role_edges查看角色关系（需有SELECT权限）
给角色批量授权表级权限
角色本身不拥有权限，必须通过 GRANT 显式赋予。批量授权的关键是避免逐条写 GRANT SELECT ON db1.t1 TO 'role' ——应优先使用通配符和数据库粒度授权。
比如想让角色能查所有报表库的只读数据：
GRANT SELECT ON `report_2023%`.* TO 'analyst_role'; GRANT SELECT ON `report_2024%`.* TO 'analyst_role';
注意：`report_2023%` 是反引号包裹的数据库名模式，MySQL 8.0支持这种模糊匹配（但不支持表名通配符如 db1.`t_%`）。
容易踩的坑：
- 忘记加反引号，导致
report_2023%被解析为非法标识符 - 对系统库（如
mysql、performance_schema）误授，引发安全风险 - 用
GRANT ALL PRIVILEGES过度授权，实际只需SELECT, SHOW VIEW
把角色批量分配给多个用户
MySQL不支持一条语句赋角色给多个用户，但可以用循环或脚本生成批量语句。核心命令是 GRANT 'role_name' TO 'user'@'host'，且该用户必须已存在。
典型场景：把 'analyst_role' 分配给 'u1'@'192.168.1.%'、'u2'@'192.168.1.%'、'u3'@'192.168.1.%'。
实操建议：
- 先确认用户存在：
SELECT User, Host FROM mysql.user WHERE User IN ('u1','u2','u3'); - 逐条执行：
GRANT 'analyst_role' TO 'u1'@'192.168.1.%';（注意单引号） - 赋权后必须执行
FLUSH PRIVILEGES;或重启连接才能生效（新会话自动加载，但旧连接不会） - 若用户 host 不同，必须分别授权，例如
'u1'@'localhost'和'u1'@'%'是两个独立账户
激活角色与权限继承验证
用户登录后默认不激活任何角色，必须显式 SET ROLE 才能使用角色权限。这点极易被忽略，导致“明明授了权却没效果”。
验证方式：
- 用户登录后执行
SET ROLE 'analyst_role'; - 再查
SELECT CURRENT_ROLE();确认是否激活 - 检查权限是否生效：
SHOW GRANTS FOR CURRENT_USER;（显示当前会话有效权限）
如果希望用户每次登录自动启用角色，需额外设置默认角色：SET DEFAULT ROLE 'analyst_role' TO 'u1'@'192.168.1.%';。否则每次都要手动 SET ROLE。
复杂点在于：一个用户可有多个默认角色，但只能有一个当前活跃角色；且 SET ROLE DEFAULT 仅对当前会话有效，除非设为默认角色并持久化。
