mysql 8.0角色功能默认关闭，需先启用activate_all_roles_on_login并授予role_admin权限；授权应遵循最小权限原则，使用反引号包裹通配符库名；批量授角色须脚本生成逐条语句。
MySQL 8.0 的 ROLE 机制本身不支持“自动批量管理”，所有角色操作都必须显式执行；跳过创建、授权、分配、激活任一环节，开发账号就拿不到权限——哪怕 SHOW GRANTS 看起来正常，CURRENT_ROLE() 也会返回 NULL。
CREATE ROLE 前必须先启用全局开关和管理员权限
直接执行 CREATE ROLE 'dev_role' 很可能报错 ERROR 3719 (HY000): 'role_admin'@'%' is not set as a role。这不是语法问题，而是 MySQL 8.0 默认关闭角色功能。
- 必须由
root或高权限用户先运行：SET GLOBAL activate_all_roles_on_login = ON; - 再授予权限：
GRANT ROLE_ADMIN ON *.* TO 'admin_user'@'%'; - 最后刷新：
FLUSH PRIVILEGES; - 生产环境务必写入
my.cnf持久化，否则重启后失效：[mysqld]\nactivate_all_roles_on_login=ON
给 dev_role 授予权限时别用 ALL PRIVILEGES
开发环境常误授 ALL PRIVILEGES，但实际只需最小集：建表、改结构、读写数据、执行存储过程。过度授权会绕过审计、放大误操作风险。
- 推荐组合：
GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, DROP, ALTER, INDEX, EXECUTE ON `dev_%`.* TO 'dev_role'; - 数据库名用反引号包裹通配符：
`dev_%`匹配所有以dev_开头的库（MySQL 8.0 支持） - 避免对
mysql、information_schema等系统库授权 - 如果需要创建用户，单独加：
GRANT CREATE USER ON *.* TO 'dev_role';（慎用）
批量分配角色给开发用户不能靠一条 SQL 完成
MySQL 不支持 GRANT 'dev_role' TO 'u1','u2','u3' 这类语法。必须逐条生成或脚本驱动，且每个用户 host 必须精确匹配。
- 确认用户存在：
SELECT User, Host FROM mysql.user WHERE User IN ('dev_a', 'dev_b'); - 生成批量语句（用
SELECT CONCAT(...)）：SELECT CONCAT('GRANT dev_role TO ''', User, '''@''', Host, ''';') \nFROM mysql.user \nWHERE User LIKE 'dev_%' AND Host = '10.20.%'; - 导出后执行：
mysql -u root -p - 用户名含特殊字符（如
dev-team）必须用反引号：GRANT dev_role TO `dev-team`@'10.20.%';
SET DEFAULT ROLE 是权限真正生效的临门一脚
即使 GRANT 'dev_role' TO 'dev_a'@'10.20.%' 执行成功，用户登录后仍无任何开发权限——因为角色默认不激活。
- 必须执行：
ALTER USER 'dev_a'@'10.20.%' DEFAULT ROLE 'dev_role'; - 前提条件：该用户已存在、角色已授过权、执行者有
ROLE_ADMIN - 若想让所有新连接自动激活全部已授予角色，可设全局变量：
SET PERSIST activate_all_roles_on_login = ON; - 验证是否生效：
SELECT CURRENT_ROLE();应返回'dev_role'，不是NULL
最容易被忽略的是：角色权限变更（比如新增一张表的 SELECT）不会自动同步到已连接的开发会话，必须让开发者重连，或手动执行 SET ROLE 'dev_role'; ——这点在调试阶段常导致“明明改了权限却没效果”的困惑。
