CREATE ROLE 本身不赋权也不生效，需依次执行 GRANT 权限给角色、GRANT 角色给用户、SET DEFAULT ROLE 三步才能启用权限；版本低于8.0.1会报ERROR 1064，ERROR 3719/3530则需启用 activate_all_roles_on_login 并检查权限与语法。
CREATE ROLE 语句本身不会赋予任何权限，也不自动生效；必须配合 GRANT 权限给角色、GRANT 角色给用户、SET DEFAULT ROLE 三步才能让权限真正可用。
CREATE ROLE 报错 ERROR 1064 或 ERROR 3719 怎么办
ERROR 1064 表示 MySQL 版本低于 8.0.1，角色功能压根不存在，SELECT VERSION(); 确认版本后直接放弃使用角色；ERROR 3719（'role_admin'@'%' is not set as a role）或 ERROR 3530（Cannot grant role）则说明角色支持未启用或权限缺失。
- 先由 root 执行
SET GLOBAL activate_all_roles_on_login = ON;，否则所有角色操作都会失败 - 再执行
GRANT ROLE_ADMIN ON *.* TO 'admin_user'@'%';，普通用户无权创建/管理角色 - 角色名必须带单引号，如
'app_reader'；写成`app_reader`或"app_reader"可能触发语法错误 - 若需持久化，把
activate_all_roles_on_login=ON加入my.cnf的[mysqld]段，否则重启失效
GRANT 权限给角色 vs GRANT 角色给用户，两步不能合并
这是最常被跳过的逻辑断点：对角色授予权限（GRANT SELECT ON mydb.* TO 'app_reader';）只是填充容器；把角色授予用户（GRANT 'app_reader' TO 'api_user'@'%';）只是建立绑定关系——两者都不等于“权限已生效”。
- 角色不支持
WITH GRANT OPTION，加了会报 ERROR 3529；如需传递权限，只能由有GRANT OPTION的用户操作 - 角色不支持列级权限，
GRANT SELECT(col1) ON t1 TO 'r1';会直接报错 - 角色名若含特殊字符（如
-），必须用反引号：GRANT SELECT ON logs.* TO `ci-pipeline`; - 执行完
GRANT给角色后，建议立即执行FLUSH PRIVILEGES;，尤其在旧版客户端中，避免权限缓存延迟
为什么 SHOW GRANTS 看不到角色权限，但用户还是没权限
SHOW GRANTS FOR 'user'@'host'; 默认只显示直授权限，完全不展开角色内容。看起来空空如也，不代表没配好；而用户登录后 CURRENT_ROLE() 返回 NULL，才是真正的问题信号。
- 查用户绑定了哪些角色：
SELECT * FROM mysql.role_edges WHERE to_user = 'user' AND to_host = '%'; - 查角色本身有哪些权限：
SHOW GRANTS FOR 'app_reader'; - 查该用户通过某角色获得的权限：
SHOW GRANTS FOR 'user'@'host' USING 'app_reader'; - 确认当前会话激活状态：
SELECT CURRENT_ROLE();—— 返回NULL就说明没激活，哪怕角色已授予 - 激活必须靠
SET DEFAULT ROLE 'app_reader' TO 'user'@'host';（管理员执行）或用户自己执行SET ROLE 'app_reader';（需有ROLE_ADMIN）
权限回收和默认角色设置的硬性前提
回收权限时，FROM 后面的对象类型决定影响范围；设默认角色看似简单，但漏掉任一前提都会静默失败。
-
REVOKE SELECT ON mydb.* FROM 'app_reader';→ 从角色移除权限，所有持有该角色的用户立即失效 -
REVOKE SELECT ON mydb.* FROM 'user'@'host';→ 只影响该用户的直授权限，角色继承权限不受影响 -
SET DEFAULT ROLE 'app_reader' TO 'user'@'host';前提有三：执行者有ROLE_ADMIN权限、目标角色已被GRANT过权限、用户账户已存在（哪怕只有USAGE） - 若跳过
GRANT ... TO 'app_reader'就设默认角色，用户登录后SHOW GRANTS USING 'app_reader';仍为空，权限实际为零 - 一个用户可被授予多个角色，但
SET DEFAULT ROLE ALL TO 'user'@'host';会违反最小权限原则，生产环境慎用
真正卡住人的从来不是语法，而是流程完整性：创建角色 → 给角色赋权 → 把角色授予用户 → 设默认角色 → 验证 CURRENT_ROLE() 和 SHOW GRANTS ... USING。少一步，权限就停在半路。
