必须设activate_all_roles_on_login=ON并写入配置文件，否则登录时角色不会自动激活；仅SET GLOBAL无效，因该变量只影响新连接且重启后恢复默认OFF，需配合GRANT角色、持久化配置及重连验证才能生效。
必须设 activate_all_roles_on_login=ON 并写入配置文件，否则登录时角色不会自动激活——只执行 SET GLOBAL 是无效的。
为什么 SET GLOBAL activate_all_roles_on_login = ON 后用户登录仍没权限
常见现象是执行了动态设置，但用户一登录还是查不到表、报 ERROR 1142 (42000): SELECT command denied。这不是权限没授，而是三个硬性前提缺一不可：
-
activate_all_roles_on_login是全局变量，只影响新连接；已有连接不会刷新，必须重连 - 该变量重启 MySQL 后恢复默认
OFF，不写进my.cnf就等于白设 - 用户必须已通过
GRANT 'role_name' TO 'user'@'host'显式授予过角色；SET DEFAULT ROLE不是必需步骤，但GRANT role TO user是硬门槛
如何正确启用并验证自动激活
三步操作顺序不能错，少一步都会导致“看起来开了，其实没用”：
- 高权限账号（如
root）执行：SET GLOBAL activate_all_roles_on_login = ON; - 编辑
/etc/my.cnf或/usr/my.cnf，在[mysqld]段落下追加：[mysqld] activate_all_roles_on_login=ON
- 验证是否生效：
SELECT @@activate_all_roles_on_login;返回1才算成功；再用目标用户登录后执行SELECT CURRENT_ROLE();，应返回类似'app_reader'@'%'而不是NONE
activate_all_roles_on_login=ON 和 SET DEFAULT ROLE 冲突吗
冲突，而且是单向覆盖关系：
- 一旦
activate_all_roles_on_login=ON生效，SET DEFAULT ROLE完全失效——所有已授予的角色都会在登录时自动激活，不再受“默认”限制 - 如果你依赖
SET DEFAULT ROLE 'r_ro' TO 'app'@'%'控制最小权限集，就必须保持activate_all_roles_on_login=OFF（即默认值） - 误设为
ON后再执行SET DEFAULT ROLE不报错，但CURRENT_ROLE()查不到变化，权限实际由全部已授角色叠加决定
最容易被忽略的兼容性与细节
这个参数看着简单，但几个边界情况会让权限“静默失效”：
-
activate_all_roles_on_login从 MySQL 8.0.2 引入，低于此版本执行SET GLOBAL会报Unknown system variable - 角色名区分大小写，取决于
lower_case_table_names设置；GRANT 'Admin' TO 'u'@'%'和GRANT 'admin' TO 'u'@'%'是两个独立角色 - 角色必须先
CREATE ROLE，再GRANT 权限 TO role，最后GRANT role TO user；漏掉中间任一环，激活后仍是空权限 - 客户端版本太低（如 MySQL 5.7 客户端连 8.0 服务端）可能忽略角色上下文，建议用
mysql --version确认 ≥ 8.0.11
真正卡住人的从来不是怎么开开关，而是开了之后没检查角色是否真被授予、配置是否落盘、服务是否重载——activate_all_roles_on_login 只是通电按钮，背后整条角色链（创建 → 授权 → 授予用户 → 配置持久化）断一环，就全没电。
