MySQL 8.0角色机制需四步落地：启用全局开关、授予ROLE_ADMIN、刷新权限、限定作用域授权；跳过任一环节CURRENT_ROLE()返回NULL；CREATE ROLE前必须SET GLOBAL activate_all_roles_on_login=ON并GRANT ROLE_ADMIN；角色授权须精确到database.table层级，禁用ON .；批量授角色需脚本生成逐条GRANT语句。
MySQL 8.0 的 ROLE 机制本身不自动实现“精细化批量授权”，必须配合显式创建、分层授权、严格限定作用域和手动激活四步才能落地；跳过任一环节，CURRENT_ROLE() 都会返回 NULL，权限实际不可用。
CREATE ROLE 前必须启用全局开关并授 ROLE_ADMIN
MySQL 8.0 默认关闭角色功能，CREATE ROLE 语句看似能执行，但后续所有授权都会静默失效或报错 ERROR 3719 (HY000)。关键前置动作是：
- 由高权限用户（如
root）执行：SET GLOBAL activate_all_roles_on_login = ON; - 再执行：
GRANT ROLE_ADMIN ON *.* TO 'admin_user'@'%'; - 最后执行：
FLUSH PRIVILEGES; - 生产环境务必写入
my.cnf持久化：activate_all_roles_on_login=ON，否则重启后失效
给角色授权限时必须限定到 database.table 层级，禁用 ON *.*
对角色使用 GRANT SELECT ON *.* TO 'analyst_role'; 是高危操作：它会把 mysql、performance_schema 等系统库也开放，而普通用户查这些库常返回空结果，误判为“权限没生效”。正确做法是：
安装、修复、更新或打包一个基于 Python 和 PyMySQL 实现的 Windows `mysql` 命令。适用于用户希望在 PowerShell/CMD 中输入 `mysql` 时重定向到 Python 实现、需要交互式输入 MySQL 连接信息、需要同步到当前用户本地 bin 目录，或需要将该能力封装成可公开复用的 Codex skill。
- 按业务边界精确限定库名，支持通配符但仅限数据库名层级：
GRANT SELECT ON `report_2023%`.* TO 'analyst_role'; - 表级控制需明确写出：
GRANT SELECT ON sales.orders TO 'analyst_role';，不能写成ON *.orders（语法错误） - 避免
GRANT ALL PRIVILEGES，只授最小必要权限，例如只读场景用SELECT, SHOW VIEW - 记得加反引号包裹含通配符的库名，否则
report_2023%被解析为非法标识符
批量分配角色给多个用户不能一条语句完成，但可脚本生成
MySQL 不支持 GRANT 'role' TO 'u1'@'%', 'u2'@'%'; 这类语法。必须逐条执行，但可通过查询动态生成语句，规避人工拼写错误：
- 确认目标用户存在：
SELECT User, Host FROM mysql.user WHERE User IN ('u1','u2','u3'); - 生成批量授权语句：
SELECT CONCAT('GRANT ''analyst_role'' TO ''', User, '''@''', Host, ''';') FROM mysql.user WHERE User IN ('u1','u2','u3'); - 导出结果保存为
grant_batch.sql，再用mysql -u root -p 批量执行 - 用户名含特殊字符（如
dev-team）必须用反引号：GRANT 'analyst_role' TO `dev-team`@'%';
用户登录后权限仍不生效？缺 SET DEFAULT ROLE 或未重连
即使角色已创建、已授权、已分配给用户，SHOW GRANTS FOR 'u1'@'%'; 只显示 GRANT 'analyst_role' TO 'u1'@'%'，不会展开角色内权限；CURRENT_ROLE() 返回 NULL，说明权限未激活。必须：
- 由管理员执行：
ALTER USER 'u1'@'%' DEFAULT ROLE 'analyst_role';（注意：该用户必须已存在，且角色已通过GRANT ... TO 'analyst_role'显式赋权） - 或者全局启用自动激活：
SET PERSIST activate_all_roles_on_login = ON;（要求 MySQL ≥ 8.0.11） - 旧连接不会自动更新权限，必须断开重连，或在当前会话中手动执行：
SET ROLE 'analyst_role'; - 验证是否生效：
SELECT CURRENT_ROLE();应返回'analyst_role'，再试SELECT * FROM sales.orders LIMIT 1;
最容易被忽略的是：角色权限变更后，新用户能立即继承，但**已存在的活跃连接不会刷新权限缓存**——这意味着你改完角色权限、跑完所有 GRANT 和 ALTER USER，如果用户还连着旧会话，就永远看不到效果。
