GRANT不生效是因为角色需显式授权且默认未激活；必须执行GRANT权限给角色，并用SET DEFAULT ROLE使用户登录后自动启用。
创建角色后为什么 GRANT 不生效？
MySQL 8.0+ 支持角色，但角色本身不自动拥有权限——必须显式赋予。常见错误是只执行 CREATE ROLE 'dev_role'; 就以为角色已具备权限，实际还需 GRANT SELECT, INSERT ON app_db.* TO 'dev_role';。
另外，角色默认处于“未激活”状态。用户即使被授予角色，也需手动启用，否则权限不可用：
-
SET ROLE 'dev_role';（当前会话临时启用） -
SET DEFAULT ROLE 'dev_role' TO 'dev_user'@'localhost';（让该用户登录后自动激活）
漏掉 SET DEFAULT ROLE 是线上最常导致“明明授了角色却没权限”的原因。
如何批量给多个用户分配同一组权限？
用角色替代逐个 GRANT 是核心目的。流程分三步：
- 创建角色：
CREATE ROLE 'read_only_analyst'; - 授权给角色：
GRANT SELECT ON sales_db.* TO 'read_only_analyst'; - 把角色授予用户：
GRANT 'read_only_analyst' TO 'ana1'@'%', 'ana2'@'%', 'ana3'@'%';
注意：MySQL 8.0.16+ 才支持一次 GRANT 多个用户；低版本需循环执行。后续只需修改角色权限，所有绑定用户自动同步，无需重刷每个账号。
REVOKE 角色时为什么用户还能查数据？
撤销角色本身（DROP ROLE）或从用户撤回角色（REVOKE 'role_name' FROM 'user'@'host';）后，权限不会立即失效——因为用户当前会话仍缓存着已激活的角色权限。
真正生效要满足两个条件之一：
- 用户断开重连（新会话不再加载该角色）
- 用户在当前会话执行
SET ROLE NONE;或SET ROLE DEFAULT;
运维中常误判“已回收权限”，实则是忘了通知用户重连或未清理会话缓存。
角色嵌套是否安全？能嵌几层？
MySQL 支持角色嵌套（即 A 角色 GRANT 给 B 角色），但有明确限制：
- 最大嵌套深度为 15 层，超限报错
ER_TOO_HIGH_LEVEL_OF_NESTING_FOR_ROLE - 嵌套不传递
WITH ADMIN OPTION——子角色无法再授予父角色 - 生产环境慎用多层嵌套，排查权限来源时链路难追踪，
SHOW GRANTS FOR 'user'@'host';只显示直接授予的角色，不展开嵌套内容
建议扁平化设计：按职能设基础角色（如 rw_app, ro_report），再组合授予用户，避免嵌套超过 2 层。
