MySQL 8.0+ 必须用 CREATE ROLE 才能真正复用权限模板；5.7及更早不支持角色，硬套会导致 GRANT 堆叠和重复维护；角色需显式授权、可嵌套但建议不超过2层；默认无权限，需 GRANT 显式赋权；常见错误包括缺 WITH ADMIN OPTION 或未激活角色。
MySQL 8.0+ 必须用 CREATE ROLE 才能真正复用权限模板
MySQL 5.7 及更早版本不支持角色，硬套“基于角色”的思路只会绕进 GRANT 堆叠和重复维护的坑。MySQL 8.0 引入 CREATE ROLE 后，权限模板才具备可管理性。
实操建议：
- 先确认版本：
SELECT VERSION();—— 小于8.0.0的直接放弃角色方案，改用脚本批量GRANT - 角色本身不绑定用户，只是权限容器；必须用
GRANT role_name TO 'user'@'host'显式授权 - 角色可以嵌套（
GRANT inner_role TO outer_role），但层级别超过 2 层，排查权限来源会变困难 - 默认新角色无任何权限，创建后必须显式
GRANT ... ON ... TO role_name
常见错误：执行 GRANT 后用户仍无权限？检查 WITH ADMIN OPTION 和 FLUSH PRIVILEGES
给角色授予权限时漏掉 WITH ADMIN OPTION，会导致该角色无法把权限再授予其他角色或用户；而 MySQL 8.0+ 在多数情况下无需 FLUSH PRIVILEGES，但若用 INSERT INTO mysql.role_edges 等非标准方式操作，就必须手动刷新。
典型错误现象：
-
GRANT SELECT ON sales.* TO 'analyst_role';执行成功，但GRANT analyst_role TO 'alice'@'%';报错ERROR 3530 (HY000): Access denied for user 'alice'@'%' to database 'sales' - 原因常是：未对角色启用管理权，或用户未激活角色（
SET ROLE analyst_role;） - 验证是否生效：
SHOW GRANTS FOR 'alice'@'%';—— 注意看输出里是否有GRANT ... TO 'analyst_role'行
大批量用户初始化：用脚本生成 GRANT 语句比逐个执行更稳
一次性导入 500+ 用户时，不要在应用层循环调用 GRANT——网络超时、连接中断、部分失败难回滚。应先生成 SQL 文件，再用 mysql 客户端批量执行。
示例（生成模板语句）：
SELECT CONCAT('GRANT analyst_role TO ''', username, '''@''%', ''';')
FROM user_list
WHERE dept = 'analytics';导出后保存为 grant_batch.sql，再运行：mysql -u root -p < grant_batch.sql
注意点：
- 用户名含特殊字符（如
-、.）必须用反引号包裹：GRANT analyst_role TO `dev-team`@'%'; - 避免在同一个事务中混合
CREATE USER和GRANT，MySQL 不支持 DDL 事务，失败时无法回滚 - 生产环境执行前，先在测试库用
mysql --verbose -e "source grant_batch.sql"看每条语句是否报错
权限回收容易遗漏：角色 ≠ 用户，DROP ROLE 不影响已授权用户的当前会话
删掉一个角色后，之前被授予该角色的用户不会立刻失权——只要会话没断，SELECT CURRENT_ROLE() 仍返回该角色，且权限持续有效直到下次登录。
这意味着：
-
DROP ROLE analyst_role;只是删除角色定义，不自动撤销所有GRANT ... TO user关系 - 必须配合清理语句：
REVOKE analyst_role FROM 'alice'@'%', 'bob'@'%'; - 若用户有多个角色，
SET ROLE NONE;可临时禁用全部，但不解决根本问题 - 定期审计用：
SELECT * FROM mysql.role_edges WHERE TO_HOST = '%';查看哪些用户还绑着已废弃角色
真正麻烦的是跨库权限模板——比如 reporting_role 需要访问 sales、marketing、finance 三个库，任一库结构变更（如表重命名）都会让整套模板失效，得重新校验每条 GRANT 语句的 ON 目标是否存在。
