不合法。ALTER USER DEFAULT ROLE ALL EXCEPT 是无效语句，MySQL 8.0+ 不支持该语法，仅接受显式角色列表、ALL 或 NONE；需先查角色再手动排除后指定。
ALTER USER DEFAULT ROLE ALL EXCEPT 语法是否合法？
不合法。alter user default role all except 是无效语句，mysql 8.0+ 不支持 all except 这种写法。官方只接受明确列出的角色名、all（表示所有已授予角色）、或 none（清空默认角色）。直接写 all except role1 会报错：error 1235 (42000): this version of mysql doesn't yet support 'all except'。
- MySQL 目前（截至 8.0.33）没有实现 SQL 标准中的
ALL EXCEPT子句 -
DEFAULT ROLE设置的是“生效角色列表”，不是“排除逻辑”，必须显式指定哪些角色该启用 - 如果你刚从 PostgreSQL 或 Oracle 切过来，容易误以为这个语法通用
如何安全地设置用户默认角色为“除某几个外的所有已授角色”
得拆两步走：先查出用户当前被授予的角色，再手动剔除要排除的，最后用 ALTER USER ... DEFAULT ROLE 显式赋值。
- 先查角色：执行
SELECT * FROM mysql.role_edges WHERE TO_HOST = '' AND TO_USER = 'your_user';（注意：MySQL 8.0+ 角色信息存在mysql.role_edges表中） - 或更稳妥方式：
SHOW GRANTS FOR 'your_user'@'%';，人工提取ROLE行里的角色名 - 排除后拼出完整角色列表，例如用户有
r_admin、r_read、r_write，想排除r_write，就写：ALTER USER 'your_user'@'%' DEFAULT ROLE r_admin, r_read; - 别漏掉
@'host'部分，否则会操作错用户（比如'user'@'localhost'和'user'@'%'是两个不同账户）
设成 DEFAULT ROLE NONE 后为什么用户仍能执行某些操作？
因为 DEFAULT ROLE NONE 只是禁用角色激活，并不撤销权限；如果用户本身被直接授予了权限（非通过角色），那些权限依然有效。
- 角色（ROLE）和用户（USER）是两套权限载体：用户可直授权限，也可通过角色间接获得
-
DEFAULT ROLE NONE仅影响“会话启动时自动激活哪些角色”，不影响用户自己的CREATE TABLE等直授权限 - 检查是否直授：运行
SHOW GRANTS FOR 'your_user'@'%';，看有没有不带WITH ADMIN OPTION但直接出现在用户 grant 行里的权限项 - 如果只想靠角色管控权限，务必确保该用户没有任何直授权限，否则角色开关形同虚设
批量处理多个用户时最容易踩的坑
最大的问题是混淆 GRANT 和 DEFAULT ROLE 的作用域——前者决定“能不能拥有角色”，后者决定“登录后哪些角色自动生效”。
-
GRANT r_read TO 'u1'@'%', 'u2'@'%';是给多个用户授角色，但不会自动设为默认角色 - 必须对每个用户单独执行
ALTER USER ... DEFAULT ROLE，MySQL 不支持批量设置默认角色 - 脚本里别用字符串拼接生成 SQL，尤其当用户名含特殊字符或空格时，要用
QUOTE()或客户端参数化处理 - 测试时务必开新连接验证：
mysql -u u1 -p登录后执行SELECT CURRENT_ROLE();，确认返回结果符合预期
事情说清了就结束。角色默认行为在 MySQL 里始终是显式优先，没有隐式排除机制，所有“除……之外”的需求都得靠查 + 算 + 写三步落地。
