MySQL8.0用户权限管理教程：GRANT与角色

适用版本：MySQL 8.0 及以上。MySQL 8.0 引入了原生角色（Role）支持，权限管理方式从“逐用户授权”进化到了“角色批量管理”。本教程从 GRANT 基础讲起，再过渡到角色的创建、激活与最佳实践，帮助你构建清晰的权限体系。

一、GRANT 基础：权限授予的核心逻辑

GRANT 语句用于向用户或角色授予权限。在 MySQL 中，权限是叠加的：用户最终拥有的权限，是全局、数据库、表、列等各层级权限的逻辑并集 。这意味着低层级权限的缺失，无法抵消高层级已授予的权限。

1.1 语法与权限层级

GRANT priv_type [(column_list)] [, priv_type ...]
ON priv_level
TO user_or_role [, user_or_role ...]
[WITH GRANT OPTION];

priv_level 决定了权限的作用范围：

关键限制：GRANT ALL ON db_name.* 仅授予该层级存在的权限，不会附带仅限全局层级的 FILE、PROCESS 等权限，也不包含 GRANT OPTION 。

1.2 实用示例

-- 创建用户（GRANT 前通常需要先建用户，或使用 GRANT 隐式创建，但不推荐）
CREATE USER 'app_reader'@'10.0.0.%' IDENTIFIED BY 'StrongPass!123';

-- 授予 app_db 库的只读权限
GRANT SELECT ON app_db.* TO 'app_reader'@'10.0.0.%';

-- 授予特定表的写权限
GRANT INSERT, UPDATE ON app_db.orders TO 'app_reader'@'10.0.0.%';

-- 授予列级权限（仅允许读取 users 表的 id 和 name 列）
GRANT SELECT (id, name) ON app_db.users TO 'app_reader'@'10.0.0.%';

-- 验证权限
SHOW GRANTS FOR 'app_reader'@'10.0.0.%';

注意：WITH GRANT OPTION 允许被授权者将权限继续转授他人。除非确有必要（如 DBA 助手），否则应避免使用，以防权限扩散 。

二、角色（Role）：权限管理的进阶方案

当多个用户需要相同权限集时，逐个授权不仅繁琐，后续调整也容易遗漏。角色是一组命名权限的集合，你可以将角色授予多个用户，修改角色权限后，所有拥有该角色的用户自动继承变更 。

2.1 创建角色并赋予权限

-- 创建角色
CREATE ROLE 'role_readonly', 'role_developer', 'role_admin';

-- 为角色授予权限（与给用户授权语法一致）
GRANT SELECT ON shop.* TO 'role_readonly';
GRANT SELECT, INSERT, UPDATE, DELETE ON shop.* TO 'role_developer';
GRANT ALL PRIVILEGES ON shop.* TO 'role_admin';

2.2 将角色授予用户

-- 创建用户
CREATE USER 'alice'@'%' IDENTIFIED BY 'AlicePass!';
CREATE USER 'bob'@'%' IDENTIFIED BY 'BobPass!';

-- 授予角色
GRANT 'role_readonly' TO 'alice'@'%';
GRANT 'role_developer' TO 'bob'@'%';

重要：MySQL 8.0 中，角色授予后默认处于未激活状态。用户登录后，如果不激活角色，角色权限不会生效。你可以通过 CURRENT_ROLE() 函数确认当前活跃角色（未激活时返回 NONE）。

2.3 激活角色的三种方式

方式一：用户手动激活（会话级）

-- 用户登录后执行
SET ROLE 'role_developer';

-- 或激活所有已授予的角色
SET ROLE ALL;

-- 或激活除某个角色外的全部
SET ROLE ALL EXCEPT 'role_admin';

方式二：设置默认角色（登录时自动激活）

DBA 可以指定用户登录时自动激活的角色：

SET DEFAULT ROLE 'role_developer' TO 'bob'@'%';

-- 或设为全部已授予角色
SET DEFAULT ROLE ALL TO 'alice'@'%';

设置后，bob 和 alice 每次登录时，对应角色自动处于活跃状态 。

方式三：全局自动激活

在 MySQL 配置文件中设置，或运行时动态修改：

SET PERSIST activate_all_roles_on_login = ON;

开启后，所有用户登录时自动激活其被授予的全部角色（包括强制角色）。这在权限模型较简单时较为方便，但在复杂环境中可能带来权限过大的风险，需谨慎评估 。

2.4 角色嵌套与 ADMIN OPTION

角色可以授予角色，形成层级结构：

CREATE ROLE 'role_senior_dev';
GRANT 'role_developer' TO 'role_senior_dev';
GRANT SELECT ON analytics.* TO 'role_senior_dev';

GRANT 'role_senior_dev' TO 'carol'@'%';

WITH ADMIN OPTION 允许被授权者将角色转授他人：

GRANT 'role_developer' TO 'team_lead'@'%' WITH ADMIN OPTION;

三、权限回收与角色清理

-- 回收用户权限
REVOKE INSERT, UPDATE ON app_db.* FROM 'app_reader'@'10.0.0.%';

-- 回收角色
REVOKE 'role_developer' FROM 'bob'@'%';

-- 删除角色（自动从所有用户撤销）
DROP ROLE 'role_readonly';

注意：MySQL 不会因删除数据库或表而自动回收已授予的权限。删除对象后，对应的权限记录仍残留在授权表中，需要手动 REVOKE 清理 。

四、最佳实践建议

1. 遵循最小权限原则
应用账号只授予必要的 DML 权限（SELECT/INSERT/UPDATE/DELETE），避免授予 ALL PRIVILEGES 或 GRANT OPTION。DBA 账号与业务账号严格分离。

2. 用角色替代重复授权
当三个以上用户需要相同权限时，创建角色是更优选择。修改权限时只需调整角色，无需逐用户操作，降低遗漏风险。

3. 显式设置默认角色
如果不希望用户在每次连接后手动执行 SET ROLE，务必使用 SET DEFAULT ROLE 为用户配置登录即生效的角色。这是角色机制中最容易被忽略的环节 。

4. 定期审计权限

-- 查看用户完整权限（包括通过角色获得的权限）
SHOW GRANTS FOR 'bob'@'%' USING 'role_developer';

-- 查看当前活跃角色
SELECT CURRENT_ROLE();

-- 查询角色授予关系（底层表）
SELECT * FROM mysql.role_edges WHERE TO_USER = 'bob';

5. 避免直接修改授权表
虽然 mysql.user 等表存储权限数据，但直接 INSERT/UPDATE 风险极高。始终使用 GRANT、REVOKE、CREATE ROLE 等专用语句，服务器会校验表结构并维护一致性 。

五、快速参考：常用语句一览

掌握 GRANT 与角色的配合，你就能在 MySQL 中构建既灵活又安全的权限管理体系。核心记住一点：角色不是自动生效的，授权之后还要激活（或设默认角色），这是新手最容易踩的坑。