MySQL角色权限管理：如何正确撤销与清理
REVOKE ALL FROM role_name 语法根本不存在
首先得明确一个关键点：MySQL压根就不支持 REVOKE ALL FROM 'role_name' 这种“一键清空”的写法。如果你尝试执行，会直接收到一个 ERROR 1064 (42000) 语法错误。原因在于，MySQL的 REVOKE 命令设计得非常明确——你必须指定要撤销什么权限、作用在哪个对象上。所以，我们常说的“撤销所有角色”，其真实含义是从用户身上解除角色绑定，而不是去清空一个角色容器本身。
从用户撤销所有已授予的角色
那么，如果想让某个用户（比如 'alice'@'localhost'）回归“白板”状态，不再拥有任何角色赋予的权限，该怎么办？答案是：逐个解除绑定。
具体操作分三步走：
- 第一步：摸清家底。先查一下这个用户身上到底绑了哪些角色：
SELECT * FROM mysql.role_edges WHERE TO_USER = 'alice' AND TO_HOST = 'localhost'; - 第二步：逐个解除。对上一步查出的每一个角色名（即
FROM_USER字段），执行：REVOKE 'role_name' FROM 'alice'@'localhost'; - 第三步：理解结果。完成撤销后，用户通常只剩下一个
USAGE权限（仅允许连接服务器，没有数据库操作权）。这里有个细节：USAGE权限本身不会自动消失，除非你显式地用REVOKE USAGE ON *.* FROM 'alice'@'localhost';来撤销它。
彻底删除角色定义（连同其包含的所有权限）
如果某个角色（例如 app_reader）已经完成历史使命，需要被彻底“销毁”，并且确认没有其他用户还在使用它，那么正确的工具是 DROP ROLE。
- 执行
DROP ROLE 'app_reader';会彻底删除这个角色，包括它在mysql.role_edges、mysql.role_tables_priv等系统表中的所有记录。 - 务必记住：不要试图通过
DELETE语句手动去删这些系统表。在MySQL 8.0及更高版本中，这样做会破坏内部的权限缓存机制，可能导致权限残留甚至服务异常。 - 还有一点需要注意：如果仍有用户绑定着这个角色，
DROP ROLE会失败并报错ERROR 3530 (HY000)。稳妥的做法是，先执行上面的REVOKE解绑所有用户，再执行DROP。
撤销角色内权限 ≠ 解除用户与角色的绑定
这是权限管理中最容易踩坑的地方之一，我们得把它说透。
角色，本质上是一个权限的“集合容器”。当你修改这个容器里的内容时——比如执行 REVOKE SELECT ON test.* FROM 'app_reader'; 从角色里收回查询权限——这个改动只对未来生效。也就是说，它只影响此后被授予该角色的新用户。
对于那些已经获得了该角色的现有用户，他们的权限并不会自动更新。除非他们重新执行 SET ROLE 或者断开数据库连接后重连，否则仍然持有旧的权限。这就好比给一个团队换了新的工作章程，但已经在外出差的老队员，手里拿的还是旧手册。
所以，真正让一个现有用户立刻失去某个角色所有权限的方法，只有两个：要么用 REVOKE role_name FROM user@host 解绑（安全可控），要么用 DROP ROLE role_name 直接删除这个容器（适合角色彻底下线）。理解这两者的区别，是做好MySQL权限精细化管理的关键。
