MySQL 8.0角色功能需严格按创建→授权→分配→激活四步执行，版本须≥8.0.1且启用activate_all_roles_on_login，否则报ERROR 1064或3530；角色名须带单引号并显式指定主机，权限须精确到库表，禁用WITH GRANT OPTION；批量分配后必须SET DEFAULT ROLE激活，验证需用目标用户登录执行SELECT CURRENT_ROLE()及实际操作。
MySQL 8.0 的角色功能不是“建完就能用”，必须走通创建→授权→分配→激活四步，缺一不可；版本低于 8.0.1 或未启用 activate_all_roles_on_login，所有操作都会静默失败或报错 ERROR 1064、ERROR 3530。
确认 MySQL 版本和角色支持状态
执行 SELECT VERSION(); 是第一步，不能跳过。如果返回 5.7.42、8.0.0 或任何小于 8.0.1 的值，CREATE ROLE 必然触发 ERROR 1064 (42000)——这不是语法错，是功能根本不存在。
确认版本 ≥ 8.0.1 后，还需验证角色系统是否真正可用：
- 运行
SHOW VARIABLES LIKE 'activate_all_roles_on_login';，若值为OFF，新连接不会自动激活角色（即使已设默认角色） - 运行
SELECT * FROM mysql.role_edges LIMIT 1;，若报错Table 'mysql.role_edges' doesn't exist，说明实例未启用角色系统（常见于精简版或旧配置）
创建角色并授予最小必要权限
角色名必须带单引号，且推荐显式指定主机（如 'dev_role'@'%'），避免后续绑定时因主机不匹配失败。省略 @'host' 默认为 @'%'，但 CREATE ROLE 'dev_role' 和 CREATE ROLE 'dev_role'@'localhost' 是两个不同角色。
权限粒度要收严，开发角色绝不该碰 mysql、information_schema 等系统库：
GRANT SELECT, INSERT, UPDATE, DELETE ON dev_db.* TO 'dev_role'@'%';GRANT CREATE, DROP, ALTER, INDEX, CREATE VIEW, SHOW VIEW, EXECUTE ON dev_db.* TO 'dev_role'@'%';- 显式拒绝系统库：
REVOKE ALL PRIVILEGES ON mysql.* FROM 'dev_role'@'%'; -
GRANT SELECT ON *.table_name是非法语法，必须写成dev_db.*或dev_db.specific_table - 别在角色上加
WITH GRANT OPTION，否则开发人员可能把权限再授给他人
批量分配角色并激活生效
仅执行 GRANT 'dev_role' TO 'u1'@'%', 'u2'@'%' 是无效的——权限不会落地，用户登录后 CURRENT_ROLE() 仍是 NULL。必须额外执行 SET DEFAULT ROLE 激活。
关键约束：
- 用户必须已存在，否则
GRANT会静默跳过（无报错但不生效） - 所有目标用户的
host部分必须完全一致，例如'dev1'@'192.168.50.%'、'dev2'@'192.168.50.%'可批量处理；'dev1'@'%'和'dev2'@'localhost'就不行 - 执行
SET DEFAULT ROLE ALL TO 'dev1'@'192.168.50.%', 'dev2'@'192.168.50.%'需要执行者具备APPLICATION_PASSWORD_ADMIN或SYSTEM_VARIABLES_ADMIN权限 - 若某用户未被授予任何角色，
SET DEFAULT ROLE ALL TO会直接报ERROR 3530
验证权限是否真生效
SHOW GRANTS FOR 'dev1'@'%' 只显示 GRANT 'dev_role' TO ...，**不会展开角色内含的权限**——这是 MySQL 的默认行为，不代表配置失败。
真正验证方式：
- 用目标用户登录后执行
SELECT CURRENT_ROLE();，应返回非NULL值 - 执行一条角色内应有的操作（如
SELECT * FROM dev_db.users LIMIT 1;），看是否报ERROR 1045或ERROR 1142 - 查角色本身权限：
SHOW GRANTS FOR 'dev_role'@'%';
最容易被忽略的是：角色创建后没立刻 GRANT 权限，或者 SET DEFAULT ROLE 前没确认用户已被 GRANT 角色——这两处断点导致权限“看得见、用不了”。
