MySQL 角色继承权限后 SHOW GRANTS 如何解读

给用户分配 MySQL 角色后，最容易误判的地方是：SHOW GRANTS 看见了角色名，就以为角色里的表权限已经全部生效。实际要分三层看：账号本身拿到什么、角色里定义了什么、当前会话激活了什么。账号直接获得的权限始终有效，角色则要经过默认角色或 SET ROLE 激活。

官方文档：https://dev.mysql.com/doc/refman/8.4/en/

先把 SHOW GRANTS 的两层输出分开看

假设管理员创建了两个角色：r1 负责查询，r2 负责写入，再把它们授予 u1@localhost。先执行下面的语句：

-- 只查看账号被授予了什么，不展开角色内部权限
SHOW GRANTS FOR 'u1'@'localhost';

-- 查看角色自身定义的权限
SHOW GRANTS FOR 'r1'@'%';
SHOW GRANTS FOR 'r2'@'%';

第一条结果里可能有 GRANT USAGE ON *.*，以及一行类似 GRANT `r1`@`%`,`r2`@`%` TO `u1`@`localhost`。这表示角色关系存在，但不是把 SELECT、INSERT 等对象权限直接复制到用户上。要追溯权限来源，应继续查看角色本身，或者使用下一节的 USING。

用 USING 展开角色权限，而不是凭角色名猜结果

SHOW GRANTS 的 USING 子句适合做“权限解释”。它要求列出的角色已经授予该用户，然后将这些角色关联的权限合并到用户视角：

-- 只展开查询角色，观察单个来源
SHOW GRANTS FOR 'u1'@'localhost' USING 'r1'@'%';

-- 同时展开两个已授予角色，观察合并后的对象权限
SHOW GRANTS FOR 'u1'@'localhost' USING 'r1'@'%', 'r2'@'%';

如果 r1 有 SELECT，r2 有 INSERT、UPDATE，同时展开时就能看到合并后的授权表达式。这个结果回答的是“这些角色能提供哪些权限”，不等于“本连接此刻已经激活了这些角色”。此外，MySQL 8.4 的全局权限输出会显式列出已授予的全局权限，程序不要再假设一定会出现 ALL PRIVILEGES。

默认角色不等于当前会话一定激活

生产排查时，常见症状是“角色已经授予，但查询仍报权限不足”。先检查默认角色和会话操作的差别：

-- 让用户登录后默认激活指定角色
SET DEFAULT ROLE 'r1'@'%', 'r2'@'%' TO 'u1'@'localhost';

-- 在当前会话重新套用账号默认角色
SET ROLE DEFAULT;

-- 也可以只在当前会话临时激活一个已授予角色
SET ROLE 'r1'@'%';

SET DEFAULT ROLE 修改的是账号的默认配置，SET ROLE DEFAULT 修改的是当前会话的激活状态。若实例启用了 activate_all_roles_on_login，登录时的行为还会不同。不要只凭管理员连接执行的 SHOW GRANTS 下结论，应用连接必须在自己的会话里复查。

最后用会话视图确认权限是否真正生效

在应用账号自己的连接中执行以下检查。CURRENT_ROLE() 适合快速查看当前角色组合，ENABLED_ROLES 则能看到角色是否为默认角色或强制角色：

-- 查看当前会话启用的角色组合
SELECT CURRENT_ROLE();

-- 查看角色名称、默认角色和 mandatory 标记
SELECT ROLE_NAME, ROLE_HOST, IS_DEFAULT, IS_MANDATORY
FROM INFORMATION_SCHEMA.ENABLED_ROLES;

如果 SHOW GRANTS ... USING 能看到 SELECT，但 ENABLED_ROLES 里没有对应角色，排查重点应放在角色激活，而不是继续重复授权。反过来，如果角色已启用但目标对象仍访问失败，再核对对象名、主机部分、数据库级与表级范围，以及是否存在部分撤销。

相关问题

为什么 SHOW GRANTS 只显示角色名？

因为默认语义是展示账号的直接授权和角色分配关系。要展开角色权限，应使用 USING 或单独查看角色的授权。

USING 可以随便写一个角色吗？

不可以。USING 中的每个角色都必须已经授予目标用户，否则这条检查语句不能按预期展开。

SHOW GRANTS 能证明角色已经生效吗？

不能单独证明。它能解释授权来源；当前会话是否启用角色，要结合 CURRENT_ROLE() 和 ENABLED_ROLES 判断。