创建角色后为什么 GRANT
不生效？
MySQL 8.0+ 支持角色，但角色本身不自动拥有权限——必须显式赋予。常见错误是只执行
CREATE ROLE 'dev_role';就以为角色已具备权限，实际还需
GRANT SELECT, INSERT ON app_db.* TO 'dev_role';。
另外，角色默认处于“未激活”状态。用户即使被授予角色，也需手动启用，否则权限不可用：
SET ROLE 'dev_role';（当前会话临时启用）
SET DEFAULT ROLE 'dev_role' TO 'dev_user'@'localhost';（让该用户登录后自动激活）
漏掉
SET DEFAULT ROLE是线上最常导致“明明授了角色却没权限”的原因。
如何批量给多个用户分配同一组权限？
用角色替代逐个
GRANT是核心目的。流程分三步： 创建角色：
CREATE ROLE 'read_only_analyst';授权给角色：
GRANT SELECT ON sales_db.* TO 'read_only_analyst';把角色授予用户：
GRANT 'read_only_analyst' TO 'ana1'@'%', 'ana2'@'%', 'ana3'@'%';
注意：MySQL 8.0.16+ 才支持一次
GRANT多个用户；低版本需循环执行。后续只需修改角色权限，所有绑定用户自动同步，无需重刷每个账号。
REVOKE
角色时为什么用户还能查数据？
撤销角色本身（
DROP ROLE）或从用户撤回角色（
REVOKE 'role_name' FROM 'user'@'host';）后，权限不会立即失效——因为用户当前会话仍缓存着已激活的角色权限。
真正生效要满足两个条件之一：
用户断开重连（新会话不再加载该角色） 用户在当前会话执行SET ROLE NONE;或
SET ROLE DEFAULT;
运维中常误判“已回收权限”，实则是忘了通知用户重连或未清理会话缓存。
角色嵌套是否安全？能嵌几层？
MySQL 支持角色嵌套（即 A 角色
GRANT给 B 角色），但有明确限制： 最大嵌套深度为 15 层，超限报错
ER_TOO_HIGH_LEVEL_OF_NESTING_FOR_ROLE嵌套不传递
WITH ADMIN OPTION——子角色无法再授予父角色 生产环境慎用多层嵌套，排查权限来源时链路难追踪，
SHOW GRANTS FOR 'user'@'host';只显示直接授予的角色，不展开嵌套内容
建议扁平化设计：按职能设基础角色（如
rw_app,
ro_report），再组合授予用户，避免嵌套超过 2 层。
