MySQL 8.0角色需四步闭环：启用支持→创建角色→授权给角色→绑定并激活（SET DEFAULT ROLE），缺一不可；CURRENT_ROLE()返回NULL即未激活；CREATE ROLE报错需检查版本及activate_all_roles_on_login开关。

CURRENT_ROLE() 返回 NULL？说明角色权限根本没生效——MySQL 8.0 的角色不是建完就自动可用的“快捷方式”，必须走完四步闭环：启用支持 → 创建角色 → 授权给角色 → 绑定并激活角色给用户。漏掉任何一步，用户照样 Access denied。

CREATE ROLE 报错 ERROR 1064 或 ERROR 3719 怎么办

这不是语法写错了，而是环境压根没准备好：

• ERROR 1064：运行 SELECT VERSION(); 确认版本，低于 8.0.1 直接放弃角色，改用传统 GRANT
• ERROR 3719（提示 'role_admin'@'%' is not set as a role）：说明全局开关未开，必须由 root 执行：

  SET GLOBAL activate_all_roles_on_login = ON;
  GRANT ROLE_ADMIN ON *.* TO 'admin_user'@'%';
  FLUSH PRIVILEGES;

• 该变量重启失效，生产环境务必在 my.cnf 的 [mysqld] 段下加：activate_all_roles_on_login=ON

GRANT SELECT ON db.* TO 'role_name' 和 GRANT 'role_name' TO 'user' 是两回事

这两步不能合并、不能跳过、顺序不能反：

• 第一步是“填充角色”：GRANT SELECT, INSERT ON app_db.* TO 'dev_role'@'%'; —— 权限只存进角色，不作用于任何人
• 第二步是“绑定用户”：GRANT 'dev_role'@'%' TO 'dev1'@'10.20.%'; —— 只往 mysql.role_edges 插记录，SHOW GRANTS FOR 'dev1' 仍只显示这行绑定语句，不会展开权限内容
• 角色名必须带主机名，'dev_role' 等价于 'dev_role'@'%'，但若用户是 'dev1'@'localhost'，而角色是 'dev_role'@'%'，后续 SET DEFAULT ROLE 会因 host 不匹配失败
• 角色不支持列级授权：GRANT SELECT(id) ON t1 TO 'dev_role' 直接报 ERROR 1142

SET DEFAULT ROLE 是权限真正生效的临门一脚

用户登录后仍被拒？CURRENT_ROLE() 返回 NULL？问题几乎一定出在这步没做：

MySQL8 CRM Schema Design Expert

面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。

下载

• 必须由具备 SYSTEM_VARIABLES_ADMIN 或 APPLICATION_PASSWORD_ADMIN 权限的管理员执行：SET DEFAULT ROLE 'dev_role'@'%' TO 'dev1'@'10.20.%';
• host 必须严格匹配：角色是 'dev_role'@'%'，就不能对 'dev1'@'localhost' 执行该语句
• 批量操作可生成 SQL：SELECT CONCAT('SET DEFAULT ROLE ''dev_role''@''%'' TO ''', username, '''@''%', ''';') FROM user_list WHERE dept = 'dev';
• SET DEFAULT ROLE ALL TO 'dev1'@'%' 会激活所有已授予角色，但违背最小权限原则，慎用

验证权限是否真生效不能只看 SHOW GRANTS

SHOW GRANTS FOR 'dev1'@'%' 默认不展开角色权限，这是设计行为，不是配置失败：

• 查角色本身有哪些权限：SHOW GRANTS FOR 'dev_role'@'%';
• 查用户通过某角色获得的权限：SHOW GRANTS FOR 'dev1'@'%' USING 'dev_role';
• 确认当前会话是否激活：SELECT CURRENT_ROLE();，返回非 NULL 值才算成功
• 权限变更不影响已有连接：刚 GRANT 给角色的新权限，老连接必须手动执行 SET ROLE 'dev_role'@'%'; 才能加载

最常被忽略的点是：以为 GRANT 'role' TO 'user' 就等于权限落地了。其实这只是挂了个钩子，没 SET DEFAULT ROLE，钩子永远不拉紧。