MySQL 8.0 中角色到底能不能替代用户权限管理
能，但不是“一键替换”，而是把重复的权限组合打包成可复用的单元。角色本身不登录、不连接，只作为权限容器存在；真正起作用的是 GRANT 到用户身上的那个角色引用。如果你直接给用户授一堆 SELECT、INSERT 权限，又没用角色，那升级到 8.0 后角色功能对你毫无价值。
创建和分配角色的三步实操（别漏掉 WITH ADMIN OPTION）
角色创建后默认不能被其他用户授予或撤销——除非你显式加 WITH ADMIN OPTION。这是最容易卡住的地方：DBA 创建了 role_reporter，却忘了给自己或运维同事这个选项，结果谁都无法把它再分给别人。
常见操作链：
CREATE ROLE 'role_reporter';GRANT SELECT ON sales.* TO 'role_reporter';GRANT 'role_reporter' TO 'analyst01'@'%';-
SET DEFAULT ROLE 'role_reporter' TO 'analyst01'@'%';（否则登录后权限不生效）
为什么 SHOW GRANTS 看不到角色里的权限
因为角色权限是“间接授予”的。执行 SHOW GRANTS FOR 'analyst01'@'%' 只显示 GRANT 'role_reporter' TO ... 这一行，不会展开角色内部的 SELECT 权限。想查实际生效权限，得用：
SHOW GRANTS FOR 'analyst01'@'%' USING 'role_reporter';
注意：USING 后必须写角色名，且该角色需已通过 GRANT 分配给该用户。否则报错 ERROR 3530 (HY000): Access denied for user ... using password: YES——这不是密码错，是角色未激活或未默认设置。
角色激活失败的两个隐藏条件
即使 GRANT role_x TO user_y 成功，用户登录后也拿不到权限，大概率栽在这两点上：
- 没执行
SET DEFAULT ROLE：MySQL 8.0 默认不自动激活角色，必须显式设定，否则角色处于“挂载但未启用”状态 - 用户连接时用了旧协议或客户端不支持：比如 MySQL 5.7 客户端连 8.0 服务端，可能忽略角色信息；建议用
mysql --version确认客户端 ≥ 8.0.11
验证是否生效最简单的方式：用目标用户登录后执行 SELECT CURRENT_ROLE();，返回 'role_reporter' 才算真正激活。
