MySQL SET DEFAULT ROLE 怎样影响下一次登录

SET DEFAULT ROLE 改的是账号的“默认激活集合”，所以它主要影响用户下一次认证登录时的角色状态，不会把已经建立的连接立即改成新配置。真正决定结果的还有 activate_all_roles_on_login：它关闭时，新登录通常采用默认角色；它开启时，新登录会激活账号已获授的全部角色。

MySQL 官方文档：https://dev.mysql.com/doc/refman/8.4/en/roles.html

先把默认角色和当前会话分开

这个问题最容易混淆三个集合：账号已经获授哪些角色、账号默认准备激活哪些角色、当前这条连接实际激活哪些角色。SHOW GRANTS 更适合看授予关系，SET DEFAULT ROLE 记录登录时的默认选择，CURRENT_ROLE() 则只反映当前会话。

例如，管理员把 'r_report_read'@'%' 授予 'report_viewer'@'localhost'，再把它设为默认角色。这个动作改变的是账号的登录预设，不是给账号新增授权，也不是强制修改已经存在的连接。

配置会影响下一次登录的默认集合

配置前先确认角色已经授予账号。SET DEFAULT ROLE 的指定角色必须存在且当前已授予；ALL 表示该账号全部获授角色，NONE 表示默认不激活角色。下面的语句是配置示例，不会创建角色。

-- 只把已经授予 report_viewer 的读取角色设为登录默认值。
SET DEFAULT ROLE 'r_report_read'@'%' TO 'report_viewer'@'localhost';

-- 读取当前账号的角色授予，确认角色和主机部分都匹配。
SHOW GRANTS FOR 'report_viewer'@'localhost';

配置成功后，report_viewer 的下一次认证会话会把这个默认角色作为候选激活集合。若管理员后来把默认值改成 NONE，影响的仍然是后续登录以及显式执行 SET ROLE DEFAULT 的会话动作，不等于撤销角色。

检查全量自动激活是否覆盖默认值

MySQL 8.4 的登录规则还受全局变量影响。默认情况下，服务器会按账号默认角色处理登录；如果 activate_all_roles_on_login 为启用状态，则登录时激活全部已授予角色，默认角色配置不再是唯一决定因素。

-- 只读检查登录策略，先判断默认角色是否会被全量策略覆盖。
SELECT @@GLOBAL.activate_all_roles_on_login AS activate_all_on_login;

-- 当前连接中观察已激活角色；这不是全部授予角色清单。
SELECT CURRENT_USER() AS authenticated_account,
       CURRENT_ROLE() AS active_roles;

因此，遇到“设置了默认角色但下一次登录显示更多角色”的情况，优先检查这个全局变量；它可能让全部已授予角色在登录时一起激活。相反，默认角色设置成功但登录后没有预期权限，要核对角色是否真的授予了当前账号，以及账号的主机部分是否写对。

用新连接验证，不要拿旧连接下结论

验证时要记录连接身份。数据库客户端打开的新窗口、应用连接池复用的物理连接，未必就是同一条会话。先在目标连接执行：

-- 在同一条连接记录身份和激活角色，避免混用两个窗口的结果。
SELECT CONNECTION_ID() AS connection_id,
       CURRENT_USER() AS authenticated_account,
       CURRENT_ROLE() AS active_roles;

如果这是旧连接，默认配置变化不会自动把它切换到新集合。当前会话需要采用账号刚配置的默认值时，可以显式执行：

-- 让当前会话重新采用该账号的默认角色集合。
SET ROLE DEFAULT;

-- 再次读取当前会话状态，确认切换动作的结果。
SELECT CURRENT_ROLE() AS active_roles;

SET ROLE DEFAULT 与 SET DEFAULT ROLE 名字相近但作用不同：前者只调整当前连接，后者保存账号级默认配置。连接池场景应在借出连接时明确初始化角色状态，归还连接时也要按驱动能力重置会话，不能把上一个请求的角色状态当成下一个请求的默认值。

按现象选择排查动作

常见问题

SET DEFAULT ROLE 会立刻改变当前连接吗？

不会。它保存账号默认配置；当前连接要采用新默认集合，需要显式执行 SET ROLE DEFAULT，或重新认证建立新会话。

默认角色能替代 GRANT 吗？

不能。默认角色只能从已经授予账号的角色中选择，不能代替 GRANT role TO user。

开启全量自动激活后还需要设置默认角色吗？

如果目标是每次登录都激活全部已授予角色，默认设置不是登录结果的主要控制项；但仍应按权限最小化需要谨慎决定是否启用全量策略。

本文示例依据 MySQL 8.4 角色、SET DEFAULT ROLE 与 SET ROLE 官方说明整理，账号名和角色名均为原创示例。