MySQL 8.0+创建带角色用户需五步：先CREATE ROLE建角色，再GRANT授予权限给角色，接着CREATE USER创建登录用户，然后GRANT将角色分配给用户，最后SET DEFAULT ROLE启用角色；缺最后一步则权限不生效。
如何用 CREATE USER 和 GRANT 创建带角色的用户
MySQL 8.0+ 支持角色（ROLE），但角色本身不能直接登录，必须绑定到具体用户。常见误区是以为创建角色后就能用它赋权——实际得先建角色、再授权给角色、最后把角色赋予用户。
实操步骤如下：
- 创建角色：
CREATE ROLE 'app_reader'; - 给角色授权：
GRANT SELECT ON `myapp`.* TO 'app_reader'; - 创建登录用户：
CREATE USER 'webuser'@'%' IDENTIFIED BY 'strong_pass123'; - 把角色分配给用户：
GRANT 'app_reader' TO 'webuser'@'%'; - 启用角色（默认不激活）：
SET DEFAULT ROLE 'app_reader' TO 'webuser'@'%';
注意：SET DEFAULT ROLE 这一步漏掉，用户登录后权限不会自动生效；另外角色名和用户名一样要带 host 段（如 '%' 或 'localhost'），否则 GRANT 会报错 ERROR 3530 (HY000): Cannot grant to role 'xxx' because it does not exist。
为什么 GRANT ... ON *.* 不等于“所有库”
MySQL 的 * 是通配符，但不是正则；ON *.* 表示“当前实例中所有已存在数据库”，不包括后续新建的库。更关键的是：它不覆盖系统库（如 mysql、information_schema），即使显式写了 GRANT ALL ON mysql.*，MySQL 也会静默拒绝部分操作（比如改 mysql.user 表）。
典型陷阱场景：
- 用
GRANT SELECT ON *.* TO 'reporter'@'%';后，新创建的analytics_v2库对 reporter 不可见 - 想让运维账号能删任意库，写
GRANT DROP ON *.*—— 实际仍需单独GRANT DROP ON `newdb`.*才行 -
GRANT CREATE, ALTER ON *.*允许建库建表，但不能修改mysql下的权限表，这类操作必须用root或显式GRANT UPDATE ON mysql.*（且 MySQL 8.0+ 默认禁用）
FLUSH PRIVILEGES 什么时候必须执行
绝大多数情况下不用手动 FLUSH PRIVILEGES。只有当你绕过 GRANT，直接 INSERT/UPDATE 系统表（如 mysql.user、mysql.role_edges）后，才需要它刷新内存缓存。用 GRANT 或 CREATE ROLE 等 DCL 语句时，MySQL 自动重载权限，执行 FLUSH 反而可能引发短暂权限不一致。
判断是否真需要刷权限：
- 错误提示含
Access denied for user，但刚用GRANT赋过权 → 很可能是没执行SET DEFAULT ROLE或用户 host 不匹配 - 直接
UPDATE mysql.user SET authentication_string=...修改密码 → 必须FLUSH PRIVILEGES，否则新密码不生效 - 在从库上手动改权限表 → 不仅要
FLUSH，还可能破坏主从复制（权限表不被复制）
生产环境该禁用 root 还是限制 host
禁用 root 用户本身没有意义，MySQL 不允许删除它；真正有效的是收缩其访问范围。默认的 'root'@'localhost' 是安全的，但若安装时生成了 'root'@'%'（某些一键包或 Docker 镜像会干这事），就必须立刻处理。
建议动作：
- 删掉远程 root：
DROP USER 'root'@'%';（如果存在） - 为日常管理建专用账号，例如：
CREATE USER 'dba'@'192.168.10.%' IDENTIFIED BY 'xxx'; GRANT ALL ON *.* TO 'dba'@'192.168.10.%' WITH GRANT OPTION; - 禁止任何账号用
'%'作为 host，除非明确需要跨网段连接；内网服务用子网掩码（如'10.0.2.%'）比'%'更可控
容易被忽略的一点：MySQL 8.0 默认认证插件是 caching_sha2_password，老客户端（如 MySQL 5.7 客户端、某些 Python MySQLdb 驱动）连不上带该插件的用户，此时要么升级驱动，要么建用户时指定插件：CREATE USER 'app'@'%' IDENTIFIED WITH mysql_native_password BY 'pwd';
