如何在MySQL 8.0里通过SET ROLE命令激活已分配的角色？

SET ROLE仅在当前会话临时切换角色，立即生效但断开即失效；需确保角色已显式授予且host匹配，不支持叠加，普通用户默认无权执行。

SET ROLE只能在当前会话中临时切换角色

SET ROLE 不是设置默认行为，它只影响当前连接。执行后，权限立即变更，断开重连就失效。它适合调试、临时提权或脚本中按需切换，不适合生产环境长期依赖。

常见错误现象：用户执行了 GRANT 'app_writer' TO 'dev1'@'%'，接着连上去直接 SET ROLE 'app_writer' 却报错 ERROR 3530 (HY000): Cannot grant role 'app_writer' to 'dev1'@'%': role does not exist——根本原因是角色还没被真正授予该用户（mysql.role_edges 中无对应记录），或者 host 不匹配（比如用户用 'dev1'@'localhost' 登录，但角色只授给了 'dev1'@'%'）。

• 必须确保角色已存在：SELECT COUNT(*) FROM mysql.role_edges WHERE from_user = 'app_writer'
• 必须确保用户已被授予该角色：SELECT * FROM mysql.role_edges WHERE to_user = 'dev1' AND to_host = 'localhost'
• 角色名含特殊字符（如 - 或 .）时，必须用反引号：SET ROLE `ci-pipeline`
• SET ROLE 不支持通配符或模糊匹配，只能指定确切存在的角色名

SET ROLE会覆盖当前所有已激活角色，不是叠加

MySQL 的会话级角色模型是“单次生效、互斥替换”。执行 SET ROLE 'app_reader' 后再执行 SET ROLE 'app_writer'，前者权限立刻清空——不会保留 SELECT 权限，也不会叠加 INSERT 权限。

如果你需要同时拥有多个角色的权限，不能靠多次 SET ROLE，而应提前设好默认角色组合，例如：

SET DEFAULT ROLE 'app_reader', 'app_writer' TO 'dev1'@'localhost';

或者在登录时自动激活全部（需全局开启 activate_all_roles_on_login = ON）。

• SET ROLE ALL 激活该用户所有已被授予的角色（前提是 mysql.role_edges 中有完整记录）
• SET ROLE DEFAULT 回退到 SET DEFAULT ROLE 所定义的角色集
• SET ROLE NONE 清空当前会话所有角色权限，回到仅剩账户自身直授权限的状态

验证SET ROLE是否真生效，别只看SHOW GRANTS

SHOW GRANTS FOR 'dev1'@'localhost' 只显示“被授予了哪些角色”，不反映当前会话实际启用的权限。它永远不展开角色内部的 SELECT 或 INSERT ——这不是配置失败，是 MySQL 的默认展示逻辑。

要确认角色权限是否真的在起作用，必须查运行时状态：

• 查当前激活角色：SELECT CURRENT_ROLE()，返回 'app_writer' 表示成功；返回 NULL 说明没激活
• 查角色带来的具体权限：SHOW GRANTS FOR 'dev1'@'localhost' USING 'app_writer'
• 查用户被授予的所有角色：SELECT * FROM mysql.role_edges WHERE to_user = 'dev1' AND to_host = 'localhost'

注意：如果使用旧版客户端（如 MySQL 5.7 客户端连接 8.0 服务端），CURRENT_ROLE() 可能返回空或报错，建议统一用 mysql --version ≥ 8.0.11 验证。

普通用户无法执行SET ROLE，权限检查容易被忽略

执行 SET ROLE 不要求 SUPER 权限，但需要 APPLICATION_PASSWORD_ADMIN 或 SYSTEM_VARIABLES_ADMIN——这两个权限通常只给 DBA 或运维账号。普通应用账号即使被授予了角色，也无法自行调用 SET ROLE。

这意味着：应用代码里写 SET ROLE 'app_ro' 会直接报错 ERROR 1227 (42501): Access denied，除非你显式给该用户加了上述权限（不推荐）。

• 生产环境应避免让应用自己执行 SET ROLE，而是靠 SET DEFAULT ROLE 或 activate_all_roles_on_login = ON 实现登录即生效
• 测试时若用 root 或高权限账号执行 SET ROLE 成功，不代表应用账号也能用
• 权限变更后记得 FLUSH PRIVILEGES？MySQL 8.0+ 大多数情况不需要，但若发现角色元数据未及时同步，可手动执行一次

最常被跳过的一步是确认角色是否真正“授予并匹配”：host 精确性、角色是否存在、用户是否解锁且密码未过期——这些前置条件任一缺失，SET ROLE 就只是个语法正确的无效操作。