MySQL roles怎样为只读账号组合最小权限

MySQL roles 的最小权限做法是：把权限集中放进一个只读角色，账号只拿这个角色，不再给账号单独叠加写权限。最小示例只授予 app_db.* 上的 SELECT，再设置默认角色并用 CURRENT_ROLE()、SHOW GRANTS 复查。这样新增报表账号时只复用角色，撤销只读能力也只处理角色绑定。

官方地址：https://dev.mysql.com/doc/refman/8.4/en/

MySQL roles 的最小权限边界怎么划分

先按业务动作而不是按人员名称设计权限。报表账号通常需要查询表或视图，但不需要修改数据、创建对象，也不需要把角色继续授予别人。角色名可以用 r_ 前缀表达“这是授权集合”，账号名则保留业务身份。

如果账号只读几张表，就把授权粒度缩到表级；只有确实要读取整个业务库时，才使用数据库级 app_db.*。这一步决定了最小权限的上限，后面的角色只是把边界复用出去。

创建只读角色并绑定账号

下面的示例显式写出 host 部分，避免把本地账号和任意来源账号混为一谈。创建角色、授予权限、创建账号和绑定角色是不同语义的语句，不能把角色授予和对象权限混写到同一条 GRANT 中。

/* 创建锁定的角色：它是权限集合，不作为登录账号使用 */
CREATE ROLE 'r_app_read'@'localhost';

/* 只读范围限定在 app_db 数据库，不授予写入和授权能力 */
GRANT SELECT ON `app_db`.* TO 'r_app_read'@'localhost';

/* 创建业务账号；真实环境请使用密码管理流程提供凭据 */
CREATE USER 'report_reader'@'localhost' IDENTIFIED BY 'replace-with-secret';

/* 不使用 ON：这里授予的是角色，而不是直接授予表权限 */
GRANT 'r_app_read'@'localhost' TO 'report_reader'@'localhost';

如果只开放两张表，把第二条改成两条表级授权，例如 GRANT SELECT ON app_db.orders ... 和 GRANT SELECT ON app_db.order_items ...。不要为了省一条语句把整个实例的 SELECT 授给角色。

默认角色与会话激活不能漏

角色授予成功后，权限不一定已经在当前会话生效。MySQL 文档区分“已授予角色”和“当前活动角色”：可以为账号设置默认角色，让登录时自动激活，也可以在会话里显式执行 SET ROLE。

/* 让 report_reader 登录后默认激活只读角色 */
SET DEFAULT ROLE 'r_app_read'@'localhost' TO 'report_reader'@'localhost';

/* 在当前会话确认实际激活的角色 */
SELECT CURRENT_ROLE();

/* 若当前会话没有默认激活，可显式恢复默认角色 */
SET ROLE DEFAULT;
SELECT CURRENT_ROLE();

也可以在实例层启用 activate_all_roles_on_login，但这会影响所有账号的角色激活策略。对最小权限场景，我更建议先为目标账号设置明确的默认角色，再在连接池初始化时检查 CURRENT_ROLE()，这样问题范围更小。

用 SHOW GRANTS 复查权限边界

复查时不要只看账号的一行授权。先看角色自身拿到了什么，再看账号绑定了什么，最后看当前会话是否激活。

/* 角色自身的权限：应当只看到目标范围内的 SELECT */
SHOW GRANTS FOR 'r_app_read'@'localhost';

/* 账号与角色的绑定关系 */
SHOW GRANTS FOR 'report_reader'@'localhost';

/* 展开指定角色后查看账号能继承到的权限集合 */
SHOW GRANTS FOR 'report_reader'@'localhost'
  USING 'r_app_read'@'localhost';

看到账号有直接的 INSERT、UPDATE、DELETE，或角色出现 WITH GRANT OPTION，就不再是本文的只读边界。看到角色已经绑定但 CURRENT_ROLE() 返回 NONE，优先检查默认角色设置和连接池初始化，而不是重复授权。

常见问题

只读角色要不要授予 USAGE？

通常不需要手工添加。创建账号后 MySQL 会有基础的 USAGE 表示，但真正决定查询能力的是角色中的对象权限。

为什么已经 GRANT 角色，查询仍然被拒绝？

先执行 SELECT CURRENT_ROLE()。若角色没有激活，执行 SET ROLE DEFAULT 或修正 SET DEFAULT ROLE；再用 SHOW GRANTS 确认角色确实包含目标表的 SELECT。

数据库级 SELECT 和表级 SELECT 选哪个？

报表需要读取整个业务库时可用数据库级授权；只涉及少量稳定表时优先表级授权。权限越贴近真实读取集合，后续误读和扩权风险越小。