MySQL 8.0角色继承实现多层级权限模型简化配置

许多MySQL用户常犯的一个错误是认为MySQL 8.0具备原生的角色继承机制。实际上，官方并未提供独立的继承功能，所谓的“继承”依靠的是角色嵌套与显式激活的协同操作。若未理清这两者的关系，即便指令书写正确，也可能遭遇服务报错。

简而言之，在MySQL 8.0中，将角色A赋予角色B并不会自动传递A的全部权限。需要依次执行 GRANT role_a TO role_b 和 SET DEFAULT ROLE 两个步骤，权限链路才能完整建立。

CREATE ROLE 后必须显式启用角色支持才能用嵌套

虽然指令语法正确，但系统仍会拒绝执行，抛出错误 ERROR 3719 (HY000): 'role_a'@'%' is not set as a role。根本原因在于：默认情况下全局变量 activate_all_roles_on_login 处于 OFF 状态，且执行操作的用户缺乏 ROLE_ADMIN 权限。

解决办法也不复杂，几步就能搞定：

• 建议由root或具备高权限的用户执行以下操作：第一步，设置全局变量：SET GLOBAL activate_all_roles_on_login = ON;
• 第二步，为目标用户授予ROLE_ADMIN权限：GRANT ROLE_ADMIN ON *.* TO 'admin_user'@'%';
• 第三步，刷新权限使其生效：FLUSH PRIVILEGES;
• 若需持久化配置，可在my.cnf的[mysqld]段添加：activate_all_roles_on_login=ON

角色嵌套不是自动继承，而是手动授权链

GRANT role_child TO role_parent 语句本身并不产生权限叠加。它只创建了一种“可被授予”的关联。权限实际生效的条件是：该嵌套角色已被授予给某用户，并且该用户激活了包含嵌套结构的父角色。

举例说明：

• 首先创建三个角色：CREATE ROLE 'base_connect', 'app_reader', 'app_writer';
• 分配基础权限：GRANT USAGE ON *.* TO 'base_connect';
• 分配读取权限：GRANT SELECT ON app_db.* TO 'app_reader';
• 构建嵌套链第一步：GRANT 'base_connect' TO 'app_reader';
• 构建嵌套链第二步：GRANT 'app_reader' TO 'app_writer';
• 最后为写角色赋予写权限：GRANT INSERT, UPDATE, DELETE ON app_db.* TO 'app_writer';

需要特别留意：用户必须被直接授予app_writer角色（而非app_reader），否则嵌套链路不会激活。

SET DEFAULT ROLE 是嵌套生效的关键开关

即使角色嵌套定义完备，且GRANT role_writer TO user_x已成功执行，用户登录后查询CURRENT_ROLE()仍可能返回NULL。原因在于MySQL 8.0默认不会自动激活任何角色。

所以管理者必须来这么一下：

• 管理员显式设定默认角色：SET DEFAULT ROLE 'app_writer' TO 'user_x'@'%';
• 或一次性激活所有已授权角色：SET DEFAULT ROLE ALL TO 'user_x'@'%';
• 普通用户无权执行SET DEFAULT ROLE，需由拥有ROLE_ADMIN权限的管理员操作
• 激活后可执行SELECT CURRENT_ROLE();验证，返回非NULL值表示生效

嵌套层级不能无限递归，且权限不自动同步新对象

MySQL 8.0支持角色A→B→C的线性嵌套，但禁止环形引用（如A→B→A），且嵌套深度不能超过64层。此外，角色权限仅针对当前已存在的数据库对象生效。

• 如果对app_db.*授予SELECT，之后新建的表默认具有可查询权限。但如果使用精确对象授权（如GRANT SELECT ON app_db.t1 TO 'app_reader'），则新创建的t2表不会自动获得权限
• 修改app_reader的权限后（例如新增GRANT SELECT ON app_db.logs），所有关联app_writer的用户需在下一次执行SET ROLE或重新建立连接后才能看到变化
• 删除父角色前，必须先执行REVOKE role_a FROM role_b，否则DROP ROLE role_b会失败

最后提醒：角色嵌套仅影响权限集合，不会改变权限粒度。例如，若app_reader拥有列级SELECT(id,name)权限，嵌套到app_writer后，写权限仍需单独对相应列授予。INSERT并不隐含SELECT，这一点务必注意。