角色一直存在各個資料庫中，比如 SQL Server、Oracle 等，MySQL 自從版本 8.0 release，引入了角色這個概念。

角色的概念

角色就是一組針對各種資料庫許可權的集合。

比如，把一個角色分配給一個使用者，那這個使用者就擁有了這個角色包含的所有許可權。一個角色可以分配給多個使用者，另外一個使用者也可以擁有多個角色，兩者是多對多的關係。不過 MySQL 角色目前還沒有提供類似於其他資料庫的系統預分配的角色。比如某些資料庫的 db_owner、 db_datareader 、 db_datawriter 等等。那接下來我分幾個方面，來示例說明角色的使用以及相關注意事項。

示例 1：一個完整角色的授予步驟

用管理員建立三個角色：db_owner, db_datareader, db_datawriter

mysql> create role db_owner,db_datareader,db_datawriter;

Query OK, 0 rows affected (0.02 sec)

mysql> grant all on ytt_new.* to db_owner;

Query OK, 0 rows affected (0.01 sec)

mysql> grant select on ytt_new.* to db_datareader;

Query OK, 0 rows affected (0.01 sec)

mysql> grant insert,delete,update on ytt_new.* to db_datawriter;

Query OK, 0 rows affected (0.01 sec)

建立三個普通使用者，分別為 ytt1、ytt2、ytt3。

mysql> create user ytt1 identified by "ytt",ytt2 identified by "ytt",ytt3 identified by "ytt";

Query OK, 0 rows affected (0.01 sec)

分別授予這三個使用者對應的角色。

-- 授權角色

mysql> grant db_owner to ytt1;

Query OK, 0 rows affected (0.02 sec)

-- 啟用角色

mysql> set default role db_owner to ytt1;

Query OK, 0 rows affected (0.00 sec)

mysql> grant db_datareader to ytt2;

Query OK, 0 rows affected (0.01 sec)

mysql> set default role db_datareader to ytt2;

Query OK, 0 rows affected (0.01 sec)

mysql> grant db_datawriter to ytt3;

Query OK, 0 rows affected (0.01 sec)

mysql> set default role db_datawriter to ytt3;

Query OK, 0 rows affected (0.01 sec)

以上是角色授予的一套完整步驟。那上面有點非常規的地方是啟用角色這個步驟。MySQL 角色在建立之初預設是沒有啟用的，也就是說建立角色，並且給一個使用者特定的角色，這個使用者其實並不能直接使用這個角色，除非激活了才可以。

示例 2：一個使用者可以擁有多個角色

-- 用管理員登入並且建立使用者

mysql> create user ytt4 identified by "ytt";

Query OK, 0 rows affected (0.00 sec)

-- 把之前的三個角色都分配給使用者ytt4.

mysql> grant db_owner,db_datareader,db_datawriter to ytt4;

Query OK, 0 rows affected (0.01 sec)

-- 啟用使用者ytt4的所有角色.

mysql> set default role all to ytt4;

Query OK, 0 rows affected (0.02 sec)

-- ytt4 使用者登入

root@ytt-pc:/var/lib/mysql# mysql -uytt4 -pytt -P3304 -hytt-pc

...

-- 檢視當前角色列表

mysql> select current_role();

+--------------------------------------------------------+

| current_role() |

+--------------------------------------------------------+

| `db_datareader`@`%`,`db_datawriter`@`%`,`db_owner`@`%` |

+--------------------------------------------------------+

1 row in set (0.00 sec)

-- 簡單建立一張表並且插入記錄， 檢索記錄，完了刪掉這張表

mysql> use ytt_new

Database changed

mysql> create table t11(id int);

Query OK, 0 rows affected (0.05 sec)

mysql> insert into t11 values (1);

Query OK, 1 row affected (0.02 sec)

mysql> select * from t11;

+------+

| id |

+------+

| 1 |

+------+

1 row in set (0.00 sec)

mysql> drop table t11;

Query OK, 0 rows affected (0.04 sec)

示例 3：使用者在當前 session 裡角色互換

其實意思是說，使用者連線到 MySQL 伺服器後，可以切換當前的角色列表，比如由 db_owner 切換到 db_datareader。

-- 還是之前的使用者ytt4, 切換到db_datareader

mysql> set role db_datareader;

Query OK, 0 rows affected (0.00 sec)

mysql> select current_role();

+---------------------+

| current_role() |

+---------------------+

| `db_datareader`@`%` |

+---------------------+

1 row in set (0.00 sec)

-- 切換後，沒有許可權建立表

mysql> create table t11(id int);

ERROR 1142 (42000): CREATE command denied to user "ytt4"@"ytt-pc" for table "t11"

-- 切換到 db_owner，恢復所有許可權。

mysql> set role db_owner;

Query OK, 0 rows affected (0.00 sec)

mysql> create table t11(id int);

Query OK, 0 rows affected (0.04 sec)

示例 4：關於角色的兩個引數

activate_all_roles_on_login：是否在連線 MySQL 服務時自動啟用角色

mandatory_roles：強制所有使用者預設角色

-- 用管理員連線MySQL,

-- 設定預設啟用角色

mysql> set global activate_all_roles_on_login=on;

Query OK, 0 rows affected (0.00 sec)

-- 設定強制給所有使用者賦予角色db_datareader

mysql> set global mandatory_roles="db_datareader";

Query OK, 0 rows affected (0.00 sec)

-- 建立使用者ytt7.

mysql> create user ytt7;

Query OK, 0 rows affected (0.01 sec)

-- 用 ytt7登入資料庫

root@ytt-pc:/var/lib/mysql# mysql -uytt7 -P3304 -hytt-pc

...

mysql> show grants;

+-------------------------------------------+

| Grants for ytt7@% |

+-------------------------------------------+

| GRANT USAGE ON *.* TO `ytt7`@`%` |

| GRANT SELECT ON `ytt_new`.* TO `ytt7`@`%` |

| GRANT `db_datareader`@`%` TO `ytt7`@`%` |

+-------------------------------------------+

3 rows in set (0.00 sec)

示例 5 ：create role 和 create user 都有建立角色許可權，兩者有啥區別？

以下分別建立兩個使用者 ytt8、ytt9，一個給 create role，一個給 create user 許可權。

-- 管理員登入，建立使用者ytt8,ytt9.

mysql> create user ytt8,ytt9;

Query OK, 0 rows affected (0.01 sec)

mysql> grant create role on *.* to ytt8;

Query OK, 0 rows affected (0.02 sec)

mysql> grant create user on *.* to ytt9;

Query OK, 0 rows affected (0.01 sec)

-- 用ytt8 登入，

root@ytt-pc:/var/lib/mysql# mysql -uytt8 -P3304 -hytt-pc

...

mysql> create role db_test;

Query OK, 0 rows affected (0.02 sec)

-- 可以建立角色，但是不能建立使用者

mysql> create user ytt10;

ERROR 1227 (42000): Access denied; you need (at least one of) the CREATE USER privilege(s) for this operation

mysql> \q

Bye

-- 用ytt9 登入

root@ytt-pc:/var/lib/mysql# mysql -uytt9 -P3304 -hytt-pc

...

-- 角色和使用者都能建立

mysql> create role db_test2;

Query OK, 0 rows affected (0.02 sec)

mysql> create user ytt10;

Query OK, 0 rows affected (0.01 sec)

mysql> \q

Bye

那這裡其實看到 create user 包含了 create role，create user 即可以建立使用者，也可以建立角色。

示例 6：MySQL 使用者也可以當角色來用

-- 用管理員登入，建立使用者ytt11,ytt12.

mysql> create user ytt11,ytt12;

Query OK, 0 rows affected (0.01 sec)

mysql> grant select on ytt_new.* to ytt11;

Query OK, 0 rows affected (0.01 sec)

-- 把ytt11普通使用者的許可權授予給ytt12

mysql> grant ytt11 to ytt12;

Query OK, 0 rows affected (0.01 sec)

-- 來檢視 ytt12的許可權，可以看到擁有了ytt11的許可權

mysql> show grants for ytt12;

+-----------------------------------+

| Grants for ytt12@% |

+-----------------------------------+

| GRANT USAGE ON *.* TO `ytt12`@`%` |

| GRANT `ytt11`@`%` TO `ytt12`@`%` |

+-----------------------------------+

2 rows in set (0.00 sec)

-- 在細化點，看看ytt12擁有哪些具體的許可權

mysql> show grants for ytt12 using ytt11;

+--------------------------------------------+

| Grants for ytt12@% |

+--------------------------------------------+

| GRANT USAGE ON *.* TO `ytt12`@`%` |

| GRANT SELECT ON `ytt_new`.* TO `ytt12`@`%` |

| GRANT `ytt11`@`%` TO `ytt12`@`%` |

+--------------------------------------------+

3 rows in set (0.00 sec)

示例 7：角色的撤銷

-- 用管理員登入，移除ytt2的角色

mysql> revoke db_datareader from ytt2;

Query OK, 0 rows affected (0.01 sec)

mysql> drop role db_owner,db_datareader,db_datawriter;

Query OK, 0 rows affected (0.01 sec)

-- 對應的角色也從ytt1上移除掉了

mysql> show grants for ytt1;

+----------------------------------+

| Grants for ytt1@% |

+----------------------------------+

| GRANT USAGE ON *.* TO `ytt1`@`%` |

+----------------------------------+

1 row in set (0.00 sec)

至此，我分了 7 個目錄說明了角色在各個方面的使用以及注意事項，希望對大家有幫助。