MySQL 8.0中唯一合法解绑角色的方式是逐个执行REVOKE 'role_name' FROM 'user'@'host'；不支持REVOKE ALL FROM等批量语法，角色绑定为显式、可审计的边关系，必须精准匹配FROM_USER值且区分host变体。
REVOKE 'role_name' FROM 'user'@'host' 是唯一合法解绑方式
MySQL 8.0 不支持 REVOKE ALL FROM 或类似“批量解绑”的语法，想让某个用户失去所有角色权限，必须对每个已绑定的角色单独执行 REVOKE。这不是限制，而是设计使然：角色绑定是显式、可审计的边关系，不能靠模糊指令清除。
常见错误现象：REVOKE ALL FROM 'alice'@'localhost'; 直接报错 ERROR 1064 (42000)；或者误以为 REVOKE SELECT ON *.* FROM 'alice'@'localhost'; 能清掉角色带来的权限——它只影响直接授予的权限，对角色无效。
- 先查绑定关系：
SELECT FROM_USER FROM mysql.role_edges WHERE TO_USER = 'alice' AND TO_HOST = 'localhost'; - 对每行结果执行：
REVOKE 'role_name' FROM 'alice'@'localhost';（注意单引号包裹，且role_name必须和FROM_USER字段值完全一致） - 若用户有多个 host 变体（如
'alice'@'192.168.%'），需分别处理，'alice'@'%'和'alice'@'localhost'是两个独立账号
撤销后用户只剩 USAGE 权限，但不会自动消失
执行完所有 REVOKE 'role_name' FROM ... 后，用户仍能连接 MySQL，但无法执行任何数据库操作——因为 USAGE 权限始终存在，它仅表示“允许登录”，不包含任何操作权。这个状态常被误认为“已清空”，实则只是权限最小化。
如果你需要彻底剥夺连接能力，得额外执行：REVOKE USAGE ON *.* FROM 'alice'@'localhost';。但注意：这一步极少见于生产环境，多数安全策略只要求禁用数据操作权，而非断连。
-
SHOW GRANTS FOR 'alice'@'localhost';应只返回GRANT USAGE ON *.* TO 'alice'@'localhost';，不再出现任何GRANT 'xxx_role' TO ...行 - 当前会话不刷新权限：用户在已建立的连接中仍可能“看似”有权限，必须重连或新开客户端验证
- 如果用户之前被设过默认角色（
SET DEFAULT ROLE），解绑角色后该设置自动失效，无需额外清理
DROP ROLE 是删角色定义，不是解绑用户
别混淆“从用户身上拿走角色”和“把角色本身删掉”。DROP ROLE 'app_reader'; 的作用是永久删除角色及其所有权限定义，但它不改变任何用户的当前状态——哪怕用户还绑着这个角色，DROP 也会失败并报 ERROR 3530 (HY000)。
真正安全的清理流程是：先 REVOKE 'app_reader' FROM ... 解绑所有用户 → 再 DROP ROLE 'app_reader';。跳过前者直接 DROP，等于强行破坏权限图谱，后续权限校验可能异常。
-
DROP ROLE会清理mysql.role_edges、mysql.role_tables_priv等系统表中的记录，但禁止手动DELETE这些表——MySQL 8.0+ 的权限缓存机制会拒绝同步 - 角色名带 host（如
'app_reader'@'localhost'）时，DROP ROLE也必须写全，否则删的是@'%'版本 - 批量删除多个角色支持逗号分隔：
DROP ROLE 'r1', 'r2', 'r3';，但每个角色仍需确保无人绑定
撤销角色内权限不影响已绑定用户
这是最容易被忽略的语义陷阱：REVOKE SELECT ON mydb.* FROM 'app_reader'; 只修改角色定义，对已经 GRANT 'app_reader' TO 'alice'@'localhost'; 的用户完全没影响。他们的权限快照在绑定那一刻就固定了，除非重新 SET ROLE 或断开重连，否则不会感知角色定义的变化。
换句话说，角色不是“活链接”，而是“权限快照容器”。想让已有用户立刻失权，唯一可靠路径只有 REVOKE 'app_reader' FROM 'alice'@'localhost'; 或 DROP ROLE（后者更激进）。
- 验证是否真生效：在用户新连接中执行
SELECT CURRENT_ROLE();，应返回NULL；再试SELECT * FROM mydb.t1;应报ERROR 1044 (42000) - 自动化脚本中反复执行
REVOKE role FROM user是安全的——MySQL 对未绑定的角色会静默忽略，不报错也不中断 - 如果用户被授予了多个角色，而你只想清掉其中一部分，只需针对目标角色执行
REVOKE，其余不受影响
