mysql 8.0创建角色需具备create role权限，语法为create role 'role_name';，角色名须单引号包裹、不可与用户同名；授权须逐库逐表执行，如grant select on db.* to 'role';；授角色给用户需grant + set default role，且必须指定完整'usr@host'格式。
MySQL 8.0中创建角色的正确语法和前提条件
MySQL 8.0+ 才支持角色（ROLE），且必须启用 mysql_native_password 或 caching_sha2_password 认证插件（默认已启用），但更关键的是：**用户必须有 CREATE ROLE 权限，且当前账户需启用 sql_mode 中不含 NO_AUTO_CREATE_USER（该模式在 8.0 已移除，通常无需手动处理）**。
创建角色本身很简单：
CREATE ROLE 'app_reader';
注意：app_reader 是角色名，必须用单引号包裹；角色名不区分大小写，但建议统一小写加下划线；角色不能与现有用户同名，否则 GRANT 时会报错 ERROR 3715 (HY000): Cannot grant role to user because a user with the same name exists。
给角色批量授权表级权限的实用方式
角色本身不直接访问数据，它只是权限容器。给角色赋权，等价于把权限“预装”进去，后续只需把角色赋予用户即可生效。
常见误区是试图用通配符一次性赋多库多表权限——MySQL 不支持跨库通配（如 `db_%`.*），也不支持多表名列表（如 tbl_a, tbl_b）。可行做法是：
- 对单个数据库的所有表：
GRANT SELECT ON `myapp_db`.* TO 'app_reader'; - 对多个具体表（需逐条执行）：
GRANT SELECT ON `myapp_db`.`users` TO 'app_reader';、GRANT SELECT ON `myapp_db`.`orders` TO 'app_reader'; - 若需覆盖多个库，只能分库执行：
GRANT SELECT ON `report_db`.* TO 'app_reader';
权限生效需显式执行：FLUSH PRIVILEGES;（仅在直接操作 mysql.role_edges 等系统表时才强制需要；常规 CREATE ROLE+GRANT 后可不执行，但建议加上以防缓存延迟）。
批量将角色授予多个用户的可靠方法
MySQL 不支持一条语句授予多个用户同一角色（如 GRANT 'app_reader' TO 'u1'@'%', 'u2'@'%'; 会报错 ERROR 1235 (42000): This version of MySQL doesn't yet support 'multiple triggers with the same action time and event for one table' —— 实际是语法不支持逗号分隔用户）。
安全高效的批量授权方式只有两种：
- 用 shell 脚本循环执行（推荐用于运维自动化）：
for u in u1 u2 u3; do mysql -u root -e "GRANT 'app_reader' TO '$u'@'%'; FLUSH PRIVILEGES;"; done - 在 MySQL 客户端内用临时 SQL 拼接（适合一次性操作）：
SELECT CONCAT("GRANT 'app_reader' TO '", user, "'@'", host, "';") FROM mysql.user WHERE user IN ('u1','u2','u3') AND host = '%';→ 复制结果再执行
注意：GRANT role_name TO user 之后，用户**不会立即拥有权限**，还必须执行 SET DEFAULT ROLE role_name TO user，否则用户登录后需手动执行 SET ROLE role_name; 才能激活权限。
用户激活角色失败的典型原因和验证步骤
即使完成 GRANT 和 SET DEFAULT ROLE，用户仍可能遇到 Access denied。最常被忽略的点是：
- 用户连接时未指定认证插件（尤其旧客户端），导致实际登录为
ANONYMOUS用户，绕过角色机制 -
SET DEFAULT ROLE必须针对「带 host 的完整账号」，例如SET DEFAULT ROLE 'app_reader' TO 'u1'@'%';，而不能只写'u1' - 角色权限未包含当前操作所需的最小集合（比如只授了
SELECT，却执行INSERT）
验证是否生效，用目标用户登录后执行：SHOW GRANTS; → 应看到
GRANT USAGE ON *.* TO `u1`@`%`<br>GRANT `app_reader`@`%` TO `u1`@`%`
SELECT CURRENT_ROLE(); → 应返回 app_reader如果 CURRENT_ROLE() 返回 NONE，说明角色未激活，检查 SET DEFAULT ROLE 是否漏掉或执行错误。
