MySQL 8.0如何使用角色简化权限管理

MySQL 8.0角色权限生效必须严格遵循「创建→授权→分配→激活」四步，缺一不可；否则CURRENT_ROLE()返回NULL，权限不生效，且角色名host必须全程精确匹配。

MySQL 8.0 的角色功能能简化权限管理，但必须按「创建 → 授权 → 分配 → 激活」四步走；漏任一步，CURRENT_ROLE() 返回 NULL，权限实际不生效。

CREATE ROLE 报错 ERROR 1064 或 ERROR 3719 怎么办

这通常不是语法写错，而是根本没启用角色支持或权限不足。

1. 先确认版本：SELECT VERSION(); —— 必须是 8.0.x 或更高，否则 CREATE ROLE 直接语法报错 ERROR 1064
2. 即使版本正确，activate_all_roles_on_login 默认为 OFF，会导致 CREATE ROLE 报 ERROR 3719（提示 role_admin 未设置）
3. 必须由高权限账号（如 root）执行：SET GLOBAL activate_all_roles_on_login = ON;，再 GRANT ROLE_ADMIN ON *.* TO 'admin_user'@'%';
4. 该变量重启失效，生产环境务必写入 my.cnf：

   [mysqld]

   activate_all_roles_on_login=ON

GRANT 权限给角色后，用户还是 SELECT 失败

因为 GRANT 'app_reader' TO 'user1'@'%' 只是绑定关系，不等于激活——角色权限不会自动生效。

1. 角色本身是空壳：CREATE ROLE 'app_reader' 后不 GRANT SELECT ON myapp.* TO 'app_reader'，它连 SELECT 都没有
2. 分配角色 ≠ 启用角色：SHOW GRANTS FOR 'user1'@'%' 永远只显示 GRANT 'app_reader' TO，不会展开角色内的具体权限
3. 必须显式激活：SET DEFAULT ROLE 'app_reader' TO 'user1'@'%'，否则用户登录后 CURRENT_ROLE() 仍为 NULL
4. 连接池场景（如 HikariCP）需额外配置：connection-init-sql="SET DEFAULT ROLE 'app_reader'" 或 sessionVariables=default_role=app_reader

如何验证角色是否真正生效

别信 SHOW GRANTS，也别只看语句有没有报错——最直接的验证方式是用目标用户登录后执行 CURRENT_ROLE()。

1. CURRENT_ROLE() 返回非 NULL（如 'app_reader'@'%'）才表示角色已激活
2. 若返回 NULL，大概率卡在 SET DEFAULT ROLE 没执行，或 activate_all_roles_on_login 仍为 OFF
3. 查角色自身权限用：SHOW GRANTS FOR 'app_reader'@'%'；查某用户通过角色获得的权限用：SHOW GRANTS FOR 'user1'@'%' USING 'app_reader'
4. 注意：角色不支持列级授权（GRANT SELECT(id,name) ON t TO 'r' 报 ERROR 1142），也不支持 WITH GRANT OPTION

最容易被忽略的是：角色名带主机名（如 'app_reader'@'%'）必须前后一致，创建、授权、分配、激活四个环节里主机名不匹配，就会静默失败。还有就是 FLUSH PRIVILEGES 虽在 8.0+ 不强制要求，但在角色权限变更后执行一次，能避免部分缓存导致的延迟生效问题。