角色一直存在各個資料庫中，比如 SQL Server、Oracle 等，MySQL 自從版本 8.0 release，引入了角色這個概念。
角色的概念
角色就是一組針對各種資料庫許可權的集合。比如，把一個角色分配給一個使用者，那這個使用者就擁有了這個角色包含的所有許可權。一個角色可以分配給多個使用者，另外一個使用者也可以擁有多個角色，兩者是多對多的關係。不過 MySQL 角色目前還沒有提供類似於其他資料庫的系統預分配的角色。比如某些資料庫的 db_owner、 db_datareader 、 db_datawriter 等等。那接下來我分幾個方面，來示例說明角色的使用以及相關注意事項。
示例 1：一個完整角色的授予步驟
1. 用管理員建立三個角色：db_owner, db_datareader, db_datawriter
2. mysql> create role db_owner,db_datareader,db_datawriter;
3. Query OK, 0 rows affected (0.02 sec)
4. mysql> grant all on ytt_new.* to db_owner;
5. Query OK, 0 rows affected (0.01 sec)
6. mysql> grant select on ytt_new.* to db_datareader;
1. Query OK, 0 rows affected (0.01 sec)
2. mysql> grant insert,delete,update on ytt_new.* to db_datawriter;
3. Query OK, 0 rows affected (0.01 sec)
4. 建立三個普通使用者，分別為 ytt1、ytt2、ytt3。
1. mysql> create user ytt1 identified by "ytt",ytt2 identified by "ytt",ytt3 identified by "ytt";
2. Query OK, 0 rows affected (0.01 sec)
3. 分別授予這三個使用者對應的角色。
4. -- 授權角色
5. mysql> grant db_owner to ytt1;
6. Query OK, 0 rows affected (0.02 sec)
7. -- 啟用角色
8. mysql> set default role db_owner to ytt1;
9. Query OK, 0 rows affected (0.00 sec)
10. mysql> grant db_datareader to ytt2;
11. Query OK, 0 rows affected (0.01 sec)
12. mysql> set default role db_datareader to ytt2;
13. Query OK, 0 rows affected (0.01 sec)
14. mysql> grant db_datawriter to ytt3;
Query OK, 0 rows affected (0.01 sec)
mysql> set default role db_datawriter to ytt3;
以上是角色授予的一套完整步驟。那上面有點非常規的地方是啟用角色這個步驟。MySQL 角色在建立之初預設是沒有啟用的，也就是說建立角色，並且給一個使用者特定的角色，這個使用者其實並不能直接使用這個角色，除非激活了才可以。
1. 示例 2：一個使用者可以擁有多個角色
2. -- 用管理員登入並且建立使用者
3. mysql> create user ytt4 identified by "ytt";
4. Query OK, 0 rows affected (0.00 sec)
5. -- 把之前的三個角色都分配給使用者ytt4.
6. mysql> grant db_owner,db_datareader,db_datawriter to ytt4;
7. Query OK, 0 rows affected (0.01 sec)
8. -- 啟用使用者ytt4的所有角色.
9. mysql> set default role all to ytt4;
10. Query OK, 0 rows affected (0.02 sec)
11. -- ytt4 使用者登入
12. root@ytt-pc:/var/lib/mysql# mysql -uytt4 -pytt -P3304 -hytt-pc
13. ...
14. -- 檢視當前角色列表
15. mysql> select current_role();
16. +--------------------------------------------------------+
17. | current_role() |
18. +--------------------------------------------------------+
19. | `db_datareader`@`%`,`db_datawriter`@`%`,`db_owner`@`%` |
20. +--------------------------------------------------------+
21. 1 row in set (0.00 sec)
22. -- 簡單建立一張表並且插入記錄， 檢索記錄，完了刪掉這張表
23. mysql> use ytt_new
24. Database changed
25. mysql> create table t11(id int);
26. Query OK, 0 rows affected (0.05 sec)
27. mysql> insert into t11 values (1);
28. Query OK, 1 row affected (0.02 sec)
29. mysql> select * from t11;
30. +------+
31. | id |
32. +------+
33. | 1 |
34. +------+
1 row in set (0.00 sec)
mysql> drop table t11;
Query OK, 0 rows affected (0.04 sec)
示例 3：使用者在當前 session 裡角色互換
1. 其實意思是說，使用者連線到 MySQL 伺服器後，可以切換當前的角色列表，比如由 db_owner 切換到 db_datareader。
2. -- 還是之前的使用者ytt4, 切換到db_datareader
3. mysql> set role db_datareader;
5. mysql> select current_role();
6. +---------------------+
7. | current_role() |
8. +---------------------+
9. | `db_datareader`@`%` |
10. +---------------------+
11. 1 row in set (0.00 sec)
12. -- 切換後，沒有許可權建立表
13. mysql> create table t11(id int);
14. ERROR 1142 (42000): CREATE command denied to user "ytt4"@"ytt-pc" for table "t11"
15. -- 切換到 db_owner，恢復所有許可權。
16. mysql> set role db_owner;
Query OK, 0 rows affected (0.00 sec)
mysql> create table t11(id int);
示例 4：關於角色的兩個引數
1. activate_all_roles_on_login：是否在連線 MySQL 服務時自動啟用角色mandatory_roles：強制所有使用者預設角色
2. -- 用管理員連線MySQL,
3. -- 設定預設啟用角色
4. mysql> set global activate_all_roles_on_login=on;
5. Query OK, 0 rows affected (0.00 sec)
6. -- 設定強制給所有使用者賦予角色db_datareader
7. mysql> set global mandatory_roles="db_datareader";
8. Query OK, 0 rows affected (0.00 sec)
9. -- 建立使用者ytt7.
10. mysql> create user ytt7;
12. -- 用 ytt7登入資料庫
13. root@ytt-pc:/var/lib/mysql# mysql -uytt7 -P3304 -hytt-pc
...
mysql> show grants;
+-------------------------------------------+
| Grants for ytt7@% |
| GRANT USAGE ON *.* TO `ytt7`@`%` |
| GRANT SELECT ON `ytt_new`.* TO `ytt7`@`%` |
| GRANT `db_datareader`@`%` TO `ytt7`@`%` |
3 rows in set (0.00 sec)
示例 5 ：create role 和 create user 都有建立角色許可權，兩者有啥區別？
1. 以下分別建立兩個使用者 ytt8、ytt9，一個給 create role，一個給 create user 許可權。
2. -- 管理員登入，建立使用者ytt8,ytt9.
3. mysql> create user ytt8,ytt9;
4. Query OK, 0 rows affected (0.01 sec)
5. mysql> grant create role on *.* to ytt8;
7. mysql> grant create user on *.* to ytt9;
8. Query OK, 0 rows affected (0.01 sec)
9. -- 用ytt8 登入，
10. root@ytt-pc:/var/lib/mysql# mysql -uytt8 -P3304 -hytt-pc
11. ...
12. mysql> create role db_test;
13. Query OK, 0 rows affected (0.02 sec)
14. -- 可以建立角色，但是不能建立使用者
15. mysql> create user ytt10;
16. ERROR 1227 (42000): Access denied; you need (at least one of) the CREATE USER privilege(s) for this operation
17. mysql> \q
18. Bye
19. -- 用ytt9 登入
20. root@ytt-pc:/var/lib/mysql# mysql -uytt9 -P3304 -hytt-pc
21. ...
22. -- 角色和使用者都能建立
23. mysql> create role db_test2;
24. Query OK, 0 rows affected (0.02 sec)
25. mysql> create user ytt10;
mysql> \q
Bye
那這裡其實看到 create user 包含了 create role，create user 即可以建立使用者，也可以建立角色。
1. 示例 6：MySQL 使用者也可以當角色來用
2. -- 用管理員登入，建立使用者ytt11,ytt12.
3. mysql> create user ytt11,ytt12;
5. mysql> grant select on ytt_new.* to ytt11;
6. Query OK, 0 rows affected (0.01 sec)
7. -- 把ytt11普通使用者的許可權授予給ytt12
8. mysql> grant ytt11 to ytt12;
9. Query OK, 0 rows affected (0.01 sec)
10. -- 來檢視 ytt12的許可權，可以看到擁有了ytt11的許可權
11. mysql> show grants for ytt12;
12. +-----------------------------------+
13. | Grants for ytt12@% |
14. +-----------------------------------+
15. | GRANT USAGE ON *.* TO `ytt12`@`%` |
16. | GRANT `ytt11`@`%` TO `ytt12`@`%` |
17. +-----------------------------------+
2 rows in set (0.00 sec)
-- 在細化點，看看ytt12擁有哪些具體的許可權
mysql> show grants for ytt12 using ytt11;
+--------------------------------------------+
| Grants for ytt12@% |
| GRANT USAGE ON *.* TO `ytt12`@`%` |
| GRANT SELECT ON `ytt_new`.* TO `ytt12`@`%` |
| GRANT `ytt11`@`%` TO `ytt12`@`%` |
示例 7：角色的撤銷
2. -- 用管理員登入，移除ytt2的角色
3. mysql> revoke db_datareader from ytt2;
6. mysql> drop role db_owner,db_datareader,db_datawriter;
-- 對應的角色也從ytt1上移除掉了
mysql> show grants for ytt1;
+----------------------------------+
| Grants for ytt1@% |
| GRANT USAGE ON *.* TO `ytt1`@`%` |
至此，我分了 7 個目錄說明了角色在各個方面的使用以及注意事項，希望對大家有幫助。
角色一直存在各個資料庫中，比如 SQL Server、Oracle 等，MySQL 自從版本 8.0 release，引入了角色這個概念。
角色的概念
角色就是一組針對各種資料庫許可權的集合。比如，把一個角色分配給一個使用者，那這個使用者就擁有了這個角色包含的所有許可權。一個角色可以分配給多個使用者，另外一個使用者也可以擁有多個角色，兩者是多對多的關係。不過 MySQL 角色目前還沒有提供類似於其他資料庫的系統預分配的角色。比如某些資料庫的 db_owner、 db_datareader 、 db_datawriter 等等。那接下來我分幾個方面，來示例說明角色的使用以及相關注意事項。
示例 1：一個完整角色的授予步驟
1. 用管理員建立三個角色：db_owner, db_datareader, db_datawriter
2. mysql> create role db_owner,db_datareader,db_datawriter;
3. Query OK, 0 rows affected (0.02 sec)
4. mysql> grant all on ytt_new.* to db_owner;
5. Query OK, 0 rows affected (0.01 sec)
6. mysql> grant select on ytt_new.* to db_datareader;
1. Query OK, 0 rows affected (0.01 sec)
2. mysql> grant insert,delete,update on ytt_new.* to db_datawriter;
3. Query OK, 0 rows affected (0.01 sec)
4. 建立三個普通使用者，分別為 ytt1、ytt2、ytt3。
1. mysql> create user ytt1 identified by "ytt",ytt2 identified by "ytt",ytt3 identified by "ytt";
2. Query OK, 0 rows affected (0.01 sec)
3. 分別授予這三個使用者對應的角色。
4. -- 授權角色
5. mysql> grant db_owner to ytt1;
6. Query OK, 0 rows affected (0.02 sec)
7. -- 啟用角色
8. mysql> set default role db_owner to ytt1;
9. Query OK, 0 rows affected (0.00 sec)
10. mysql> grant db_datareader to ytt2;
11. Query OK, 0 rows affected (0.01 sec)
12. mysql> set default role db_datareader to ytt2;
13. Query OK, 0 rows affected (0.01 sec)
14. mysql> grant db_datawriter to ytt3;
Query OK, 0 rows affected (0.01 sec)
mysql> set default role db_datawriter to ytt3;
Query OK, 0 rows affected (0.01 sec)
以上是角色授予的一套完整步驟。那上面有點非常規的地方是啟用角色這個步驟。MySQL 角色在建立之初預設是沒有啟用的，也就是說建立角色，並且給一個使用者特定的角色，這個使用者其實並不能直接使用這個角色，除非激活了才可以。
1. 示例 2：一個使用者可以擁有多個角色
2. -- 用管理員登入並且建立使用者
3. mysql> create user ytt4 identified by "ytt";
4. Query OK, 0 rows affected (0.00 sec)
5. -- 把之前的三個角色都分配給使用者ytt4.
6. mysql> grant db_owner,db_datareader,db_datawriter to ytt4;
7. Query OK, 0 rows affected (0.01 sec)
8. -- 啟用使用者ytt4的所有角色.
9. mysql> set default role all to ytt4;
10. Query OK, 0 rows affected (0.02 sec)
11. -- ytt4 使用者登入
12. root@ytt-pc:/var/lib/mysql# mysql -uytt4 -pytt -P3304 -hytt-pc
13. ...
14. -- 檢視當前角色列表
15. mysql> select current_role();
16. +--------------------------------------------------------+
17. | current_role() |
18. +--------------------------------------------------------+
19. | `db_datareader`@`%`,`db_datawriter`@`%`,`db_owner`@`%` |
20. +--------------------------------------------------------+
21. 1 row in set (0.00 sec)
22. -- 簡單建立一張表並且插入記錄， 檢索記錄，完了刪掉這張表
23. mysql> use ytt_new
24. Database changed
25. mysql> create table t11(id int);
26. Query OK, 0 rows affected (0.05 sec)
27. mysql> insert into t11 values (1);
28. Query OK, 1 row affected (0.02 sec)
29. mysql> select * from t11;
30. +------+
31. | id |
32. +------+
33. | 1 |
34. +------+
1 row in set (0.00 sec)
mysql> drop table t11;
Query OK, 0 rows affected (0.04 sec)
示例 3：使用者在當前 session 裡角色互換
1. 其實意思是說，使用者連線到 MySQL 伺服器後，可以切換當前的角色列表，比如由 db_owner 切換到 db_datareader。
2. -- 還是之前的使用者ytt4, 切換到db_datareader
3. mysql> set role db_datareader;
4. Query OK, 0 rows affected (0.00 sec)
5. mysql> select current_role();
6. +---------------------+
7. | current_role() |
8. +---------------------+
9. | `db_datareader`@`%` |
10. +---------------------+
11. 1 row in set (0.00 sec)
12. -- 切換後，沒有許可權建立表
13. mysql> create table t11(id int);
14. ERROR 1142 (42000): CREATE command denied to user "ytt4"@"ytt-pc" for table "t11"
15. -- 切換到 db_owner，恢復所有許可權。
16. mysql> set role db_owner;
Query OK, 0 rows affected (0.00 sec)
mysql> create table t11(id int);
Query OK, 0 rows affected (0.04 sec)
示例 4：關於角色的兩個引數
1. activate_all_roles_on_login：是否在連線 MySQL 服務時自動啟用角色mandatory_roles：強制所有使用者預設角色
2. -- 用管理員連線MySQL,
3. -- 設定預設啟用角色
4. mysql> set global activate_all_roles_on_login=on;
5. Query OK, 0 rows affected (0.00 sec)
6. -- 設定強制給所有使用者賦予角色db_datareader
7. mysql> set global mandatory_roles="db_datareader";
8. Query OK, 0 rows affected (0.00 sec)
9. -- 建立使用者ytt7.
10. mysql> create user ytt7;
11. Query OK, 0 rows affected (0.01 sec)
12. -- 用 ytt7登入資料庫
13. root@ytt-pc:/var/lib/mysql# mysql -uytt7 -P3304 -hytt-pc
...
mysql> show grants;
+-------------------------------------------+
| Grants for ytt7@% |
+-------------------------------------------+
| GRANT USAGE ON *.* TO `ytt7`@`%` |
| GRANT SELECT ON `ytt_new`.* TO `ytt7`@`%` |
| GRANT `db_datareader`@`%` TO `ytt7`@`%` |
+-------------------------------------------+
3 rows in set (0.00 sec)
示例 5 ：create role 和 create user 都有建立角色許可權，兩者有啥區別？
1. 以下分別建立兩個使用者 ytt8、ytt9，一個給 create role，一個給 create user 許可權。
2. -- 管理員登入，建立使用者ytt8,ytt9.
3. mysql> create user ytt8,ytt9;
4. Query OK, 0 rows affected (0.01 sec)
5. mysql> grant create role on *.* to ytt8;
6. Query OK, 0 rows affected (0.02 sec)
7. mysql> grant create user on *.* to ytt9;
8. Query OK, 0 rows affected (0.01 sec)
9. -- 用ytt8 登入，
10. root@ytt-pc:/var/lib/mysql# mysql -uytt8 -P3304 -hytt-pc
11. ...
12. mysql> create role db_test;
13. Query OK, 0 rows affected (0.02 sec)
14. -- 可以建立角色，但是不能建立使用者
15. mysql> create user ytt10;
16. ERROR 1227 (42000): Access denied; you need (at least one of) the CREATE USER privilege(s) for this operation
17. mysql> \q
18. Bye
19. -- 用ytt9 登入
20. root@ytt-pc:/var/lib/mysql# mysql -uytt9 -P3304 -hytt-pc
21. ...
22. -- 角色和使用者都能建立
23. mysql> create role db_test2;
24. Query OK, 0 rows affected (0.02 sec)
25. mysql> create user ytt10;
Query OK, 0 rows affected (0.01 sec)
mysql> \q
Bye
那這裡其實看到 create user 包含了 create role，create user 即可以建立使用者，也可以建立角色。
1. 示例 6：MySQL 使用者也可以當角色來用
2. -- 用管理員登入，建立使用者ytt11,ytt12.
3. mysql> create user ytt11,ytt12;
4. Query OK, 0 rows affected (0.01 sec)
5. mysql> grant select on ytt_new.* to ytt11;
6. Query OK, 0 rows affected (0.01 sec)
7. -- 把ytt11普通使用者的許可權授予給ytt12
8. mysql> grant ytt11 to ytt12;
9. Query OK, 0 rows affected (0.01 sec)
10. -- 來檢視 ytt12的許可權，可以看到擁有了ytt11的許可權
11. mysql> show grants for ytt12;
12. +-----------------------------------+
13. | Grants for ytt12@% |
14. +-----------------------------------+
15. | GRANT USAGE ON *.* TO `ytt12`@`%` |
16. | GRANT `ytt11`@`%` TO `ytt12`@`%` |
17. +-----------------------------------+
2 rows in set (0.00 sec)
-- 在細化點，看看ytt12擁有哪些具體的許可權
mysql> show grants for ytt12 using ytt11;
+--------------------------------------------+
| Grants for ytt12@% |
+--------------------------------------------+
| GRANT USAGE ON *.* TO `ytt12`@`%` |
| GRANT SELECT ON `ytt_new`.* TO `ytt12`@`%` |
| GRANT `ytt11`@`%` TO `ytt12`@`%` |
+--------------------------------------------+
3 rows in set (0.00 sec)
示例 7：角色的撤銷
2. -- 用管理員登入，移除ytt2的角色
3. mysql> revoke db_datareader from ytt2;
4. Query OK, 0 rows affected (0.01 sec)
6. mysql> drop role db_owner,db_datareader,db_datawriter;
Query OK, 0 rows affected (0.01 sec)
-- 對應的角色也從ytt1上移除掉了
mysql> show grants for ytt1;
+----------------------------------+
| Grants for ytt1@% |
+----------------------------------+
| GRANT USAGE ON *.* TO `ytt1`@`%` |
+----------------------------------+
1 row in set (0.00 sec)
至此，我分了 7 個目錄說明了角色在各個方面的使用以及注意事項，希望對大家有幫助。