在MySQL数据库的使用过程中，通过语句完成用户角色的授权是权限管理的基础操作，能够精准控制不同用户或角色可以访问的数据库资源与可执行的操作，保障数据库的安全性。
基础概念说明
MySQL中的权限管理涉及两个核心对象：用户和角色。用户是连接数据库的身份标识，角色是一组权限的集合，将角色绑定到用户后，用户即可继承角色包含的所有权限，大幅简化权限管理流程。
创建用户与角色
在进行授权操作前，需要先创建对应的用户和角色，以下是基础创建语句。
创建用户
使用CREATE USER语句创建用户，基本语法如下：
-- 创建本地访问用户，设置密码为test123 CREATE USER 'test_user'@'localhost' IDENTIFIED BY 'test123'; -- 创建允许任意IP访问的用户 CREATE USER 'remote_user'@'%' IDENTIFIED BY 'remote123';
创建角色
MySQL 8.0及以上版本支持角色功能，使用CREATE ROLE语句创建角色：
-- 创建只读角色 CREATE ROLE 'read_role'; -- 创建读写角色 CREATE ROLE 'write_role';
授权角色权限
创建角色后，需要给角色分配具体的数据库权限，使用GRANT语句完成操作。
权限类型说明
常见的权限类型包括：
- SELECT：查询数据权限
- INSERT：插入数据权限
- UPDATE：更新数据权限
- DELETE：删除数据权限
- ALL PRIVILEGES：所有权限
给角色分配权限
示例：给只读角色分配test_db数据库的查询权限，给读写角色分配test_db数据库的所有操作权限：
-- 给只读角色分配test_db库的查询权限 GRANT SELECT ON test_db.* TO 'read_role'; -- 给读写角色分配test_db库的所有权限 GRANT ALL PRIVILEGES ON test_db.* TO 'write_role'; -- 刷新权限使配置生效 FLUSH PRIVILEGES;
将角色绑定到用户
角色权限分配完成后，需要将角色绑定到对应的用户，用户才能继承角色的权限。
-- 将只读角色绑定到test_user用户 GRANT 'read_role' TO 'test_user'@'localhost'; -- 将读写角色绑定到remote_user用户 GRANT 'write_role' TO 'remote_user'@'%'; -- 设置用户默认激活角色，登录后自动生效 SET DEFAULT ROLE 'read_role' TO 'test_user'@'localhost'; SET DEFAULT ROLE 'write_role' TO 'remote_user'@'%'; -- 刷新权限 FLUSH PRIVILEGES;
权限验证与回收
验证权限是否生效
可以查询系统表确认权限配置是否正确：
-- 查询用户绑定的角色 SELECT * FROM mysql.user_role_mapping WHERE User = 'test_user' AND Host = 'localhost'; -- 查询角色的权限 SHOW GRANTS FOR 'read_role';
回收权限
如果需要回收用户或角色的权限，使用REVOKE语句：
-- 回收用户的角色 REVOKE 'read_role' FROM 'test_user'@'localhost'; -- 回收角色的权限 REVOKE SELECT ON test_db.* FROM 'read_role'; -- 刷新权限 FLUSH PRIVILEGES;
注意事项
1. 执行授权语句需要当前登录用户拥有GRANT OPTION权限或者对应资源的操作权限。
2. 权限修改后必须执行FLUSH PRIVILEGES语句才能生效，除非使用SET PASSWORD、CREATE USER等语句会自动刷新。
3. 给用户授权时要遵循最小权限原则，仅分配必要的权限，避免权限过大带来安全风险。
4. 角色功能仅在MySQL 8.0及以上版本支持，低版本需要使用直接给用户授权的方式。
直接给用户授权的方式与给角色授权语法一致，只需要将角色名替换为用户标识即可，例如给test_user用户直接分配test_db的查询权限：
GRANT SELECT ON test_db.* TO 'test_user'@'localhost'; FLUSH PRIVILEGES;