如何在MySQL 8.0中配置动态权限

ERROR 3715 表明 MySQL 8.0+ 已彻底废弃 SUPER 权限，必须按需替换为 CONNECTION_ADMIN、SYSTEM_VARIABLES_ADMIN 等细粒度动态权限，并显式授予 ON .；PROCESS 单独无法 KILL，须与 CONNECTION_ADMIN 同授；函数创建无需 SUPER，只需 SET GLOBAL log_bin_trust_function_creators=1 并授 CREATE ROUTINE。

GRANT 动态权限时报 ERROR 3715 怎么办

直接执行 GRANT SUPER ON *.* TO 'user'@'%' 会失败，这不是语法错，而是 MySQL 8.0 彻底废弃了 SUPER——它已拆解为多个细粒度动态权限。报错 ERROR 3715 (HY000): The 'SUPER' privilege is obsolete 就是明确提示你该换用新权限模型了。

必须先确认目标操作对应哪个动态权限，再单独授予。常见映射关系如下：

1. CONNECTION_ADMIN：替代 KILL（含 KILL CONNECTION、KILL QUERY），MySQL 8.0.14+ 支持
2. SYSTEM_VARIABLES_ADMIN：替代 SET GLOBAL（如改 max_connections）
3. PERSIST_RO_VARIABLES_ADMIN：配合 SYSTEM_VARIABLES_ADMIN 才能用 SET PERSIST_ONLY
4. REPLICATION_SLAVE_ADMIN：替代旧版 SUPER 中的 START SLAVE、CHANGE MASTER TO
5. BACKUP_ADMIN：用于物理备份（非 mysqldump）

给监控账号最小化授权要避开哪些坑

比如让 monitor@'%' 能查所有连接并终止慢查询，但不能改配置、不能启停复制——很多人只给 PROCESS，结果 KILL 报 ERROR 1227；或者直接 GRANT ALL PRIVILEGES，既触发警告又违反最小权限原则。

正确做法是：

1. 必须同时授予 PROCESS 和 CONNECTION_ADMIN：GRANT PROCESS, CONNECTION_ADMIN ON *.* TO 'monitor'@'%';
2. PROCESS 单独存在时只能看自己线程（SHOW PROCESSLIST 会被过滤），无法 KILL
3. REPLICATION CLIENT ≠ REPLICATION_SLAVE_ADMIN，前者只能查主从状态，后者才能控制复制
4. 授完权后建议执行 FLUSH PRIVILEGES，尤其在低版本或特殊配置下，否则新权限不生效

创建存储函数为什么不需要 SUPER 权限

开发人员常因 ERROR 1418 被要求开 SUPER，其实完全没必要。根本问题是二进制日志启用后，MySQL 要求函数声明明确标注确定性，或信任创建者。

安全解法分两步：

1. 全局设置信任开关：SET GLOBAL log_bin_trust_function_creators = 1;（需 SYSTEM_VARIABLES_ADMIN）
2. 给用户授予 CREATE ROUTINE（创建）和 ALTER ROUTINE（修改）权限即可，无需任何高危动态权限
3. 永久生效可加配置项：log_bin_trust_function_creators=1 写入 my.cnf 的 [mysqld] 段，重启生效

角色切换后权限不生效？重连是硬要求

用 SET ROLE 'role_name' 切换当前会话角色，看似生效，但后续查询仍报权限错——这不是配置问题，而是 MySQL 权限缓存机制决定的：权限只在连接建立时加载一次，动态变更（包括角色激活、GRANT/REVOKE）对已有连接无效。

必须：

1. 客户端主动断开重连，或
2. 在连接池（如 HikariCP）中配置 connection-init-sql=SET ROLE 'xxx'，或重启连接池
3. FLUSH PRIVILEGES 对角色权限完全无效，别白费力气
4. 验证当前角色用 SELECT CURRENT_ROLE()，返回 NULL 表示没激活任何角色

真正容易被忽略的是权限叠加逻辑：用户直授权限 + 角色权限 + 默认角色权限三者并存，只要任一路径存在，权限就有效；REVOKE 某角色，不代表其内权限消失，可能还通过其他路径继承着。