MySQL CURRENT_ROLE 为什么没有显示已经授予的全部角色

CURRENT_ROLE() 显示的是当前会话中已经激活的角色，不是账号获授角色的完整清单。管理员已经授予某个角色，但当前连接没有激活它时，这个角色不会出现在结果里；没有激活角色时，结果为 NONE。

因此，排查的目标不是把所有角色名字挤进状态栏，而是弄清楚：连接使用哪个账号、该账号被授予什么、当前任务需要哪一个，以及这条连接实际激活了什么。下面以一个报表读取场景说明，语法依据 MySQL 8.4 文档，示例未连接数据库执行。

MySQL 官方文档：https://dev.mysql.com/doc/refman/8.4/en/roles.html

明确当前会话显示的是什么

假设报表账号已经获授 'r_report_read'@'%' 和 'r_report_export'@'%'，但当前只做浏览任务。界面显示读取角色而不显示导出角色，可以是正确状态，并不自动证明授权丢失。

角色是权限的命名集合。当前激活状态决定会话是否使用角色带来的权限；账号直接获得的权限另有来源。由此可见，角色名称列表也不能代替完整的权限判断。

在同一连接查看身份与授予

数据库工具的两个查询窗口可能使用不同连接。应用也可能把连续两次查询交给连接池中的不同连接。先记录连接标识，再比较状态，避免把窗口A的授权和窗口B的角色状态混为一谈。

-- 在发生问题的同一条连接执行，保留连接标识以便对应状态。
SELECT CONNECTION_ID() AS connection_id,
       CURRENT_USER() AS authenticated_account,
       CURRENT_ROLE() AS active_roles;

-- 查看当前账号的权限和角色授予，区别于当前激活列表。
SHOW GRANTS;

普通连接中的 CURRENT_USER() 有助于识别权限检查所用的账号。本文讨论直接发起这些语句的普通会话；涉及定义者权限的存储程序或视图时，需要另看对象的执行上下文。

假如 SHOW GRANTS 包含读取角色的授予，而 active_roles 没有它，应继续查看激活策略；如果授予中也找不到，就请管理员确认账号、角色及其主机部分。不要仅凭角色不显示，就重复给账号增加权限。

按当前任务激活指定角色

确认账号已被授予读取角色后，可以在同一连接中显式选择它。下面名字是原创场景占位值，需要替换成实际已授予的角色，不会创建新角色或授予额外权限。

-- 只选择本次读取任务需要的已授予角色；显式写出主机部分。
SET ROLE 'r_report_read'@'%';

-- 仍在同一连接读取激活状态；不把输出当作所有角色的清单。
SELECT CONNECTION_ID() AS connection_id,
       CURRENT_ROLE() AS active_roles;

如果语句因角色不存在或未授予而失败，应按实际错误处理。不要忽略失败后在应用里仍展示“已切换成功”。接口应同时保留SQL调用是否成功和之后读取到的状态；只有拿到了这条连接的状态，页面才有依据更新展示。

SET ROLE 的指定列表表达当前要激活的集合，并不是向之前的集合不断追加。若任务确实需要两个角色，应在同一条语句中列出两者，而不是先设置A再设置B后猜测A还在。

-- 仅在任务明确需要两者且账号均已获授时使用。
SET ROLE 'r_report_read'@'%', 'r_report_export'@'%';

SET ROLE ALL 会激活账号获授的角色，但不宜作为“列表不全”的默认修复。它改变的是会话使用的权限集合，应该由任务需求决定，而不是由状态栏是否显得完整决定。

区别默认角色与当前激活

SET DEFAULT ROLE 管理账号的默认配置，SET ROLE DEFAULT 则让当前会话采用当前账号的默认角色。名字相近，作用对象不同。

-- 将当前连接切换到账号已配置的默认角色集合。
SET ROLE DEFAULT;
SELECT CURRENT_ROLE() AS active_roles;

需要调整默认策略时，由有权管理该设置的人为具体账号配置。下面是配置语法示例，账号和角色必须已经存在且满足授权要求；它不是必须执行的排障步骤。

-- 配置示例：定义该账号默认使用读取角色，不负责授予该角色。
SET DEFAULT ROLE 'r_report_read'@'%' TO 'report_viewer'@'localhost';

修改默认配置不应被理解成已经替所有正在运行的连接完成切换。现有会话可根据需要执行 SET ROLE DEFAULT；新的登录还受服务器登录激活策略影响。可以只读查看相关设置：

-- 观察登录时是否采用全部角色激活策略，不在排障中修改全局设置。
SELECT @@GLOBAL.activate_all_roles_on_login AS activate_all_on_login;

启用该设置时，新登录会自动激活账号获授的角色；否则登录通常按默认角色配置激活。不要为了当前一条连接的显示问题直接调整全局策略，也不要假定所有环境都使用相同配置。

让状态提示可读，并处理连接池边界

如果把这些信息做进管理页面，建议分成“账号获授角色”和“当前连接激活角色”两个字段，再单独展示连接标识。NONE可以显示为“当前连接未激活角色”，不要翻译成“账号无权限”。没有读到状态、查询失败和确实返回NONE，也应有不同提示。

角色名应保留可复制的完整形式；对状态不要只靠红绿颜色区分，应同时使用文字。角色切换失败时保留错误说明，避免按钮点击后先显示成功再等待数据库响应。这些交互建议服务于排障，不意味着本文提供了真实产品界面或已实现的管理工具。

连接池场景还需要把角色初始化与物理连接的生命周期对应起来。业务动作跨连接时，不能用一次SET ROLE代表整个应用已经切换；连接复用时，也应由应用明确会话恢复策略，不能把前一个使用者的状态当作下一个任务的默认值。具体连接重置机制以所用驱动和连接池文档为准。

SET ROLE NONE会撤销账号已经获得的角色吗？

不会，它把当前会话的激活角色设为NONE，不等于REVOKE，也不移除账号直接获得的权限。

为什么角色名称一样却设置失败？

要同时确认角色的主机部分、实际获授账号以及错误返回。仅比较名称文本不足以定位问题。

角色显示出来就能证明某张表一定可读吗？

不能。角色的权限内容和具体操作对象仍需对应。CURRENT_ROLE用于观察角色激活状态，不是业务操作成功的替代证明。

依据：MySQL角色使用说明、SET ROLE、SET DEFAULT ROLE。文中报表角色场景与排查组织为原创示例。