给指定ip开通mysql远程登录权限需三步：创建用户（如'usr'@'192.168.1.100'）、授权（grant ... to 'usr'@'192.168.1.100'）、刷新权限（flush privileges）；同时须检查bind-address、防火墙及密码插件兼容性。
如何给某个IP地址开通MySQL登录权限
MySQL默认只允许本地（localhost）连接，远程IP连不上，八成是host字段没配对。核心就一条：用户账号 = 'username'@'host'，其中host必须精确匹配客户端真实IP（或用%通配，但不推荐）。
实操分三步：
- 确认你用的是哪个用户登录（比如
root），执行SELECT User, Host FROM mysql.user;查现有记录 - 如果
'myuser'@'192.168.1.100'不存在，就用CREATE USER 'myuser'@'192.168.1.100' IDENTIFIED BY 'pwd123'; - 再用
GRANT SELECT,INSERT ON mydb.* TO 'myuser'@'192.168.1.100';赋权，别忘了FLUSH PRIVILEGES;
注意：host填192.168.1.100和填192.168.1.%效果不同——后者匹配该网段所有IP，但也会被更具体的规则优先覆盖；MySQL按Host字段长度+字典序排序匹配，不是“先到先得”。
为什么改了user表还是连不上
常见错因不是SQL没执行，而是MySQL根本没读到新配置，或者网络层就拦住了。
- 没运行
FLUSH PRIVILEGES;：改mysql.user表后必须刷缓存，否则权限不生效 - MySQL绑定在
127.0.0.1：检查my.cnf里bind-address是否为127.0.0.1（会拒绝所有远程连接），应改为0.0.0.0或具体内网IP - 防火墙/安全组没放行
3306端口：Linux用iptables或ufw，云服务器还得看控制台安全组 - 客户端用错host：比如PHP里
mysqli_connect('192.168.1.100', ...)连的是服务端IP，但MySQL看到的host是客户端出口IP，可能经过NAT后变了
用%通配符的风险和替代方案
'user'@'%'看着省事，实际等于把账号暴露给任意IP，只要密码泄露或撞库成功就能连进来。
- 生产环境禁止用
'%'，尤其不能配root@'%'——这是高危操作 - 想支持多IP又不想逐条加？可以用子网掩码式写法，比如
'appuser'@'10.20.%.%'，但要注意MySQL不解析CIDR，%只匹配任意字符，不是网段 - 更稳妥的做法是：应用服务器固定IP就写死IP；用K8s或云主机且IP易变，建议走跳板机或数据库代理（如ProxySQL），让MySQL只认内网固定IP
另外，host字段区分大小写吗？不区分，但User区分——所以'Admin'@'%' 和'admin'@'%'是两个用户。
修改权限后连接仍报Access denied
错误信息是Access denied for user 'u'@'x.x.x.x' (using password: YES)，说明MySQL已收到请求并做了鉴权，但拒绝了。重点排查三件事：
- 密码是否对得上：MySQL 5.7+默认用
caching_sha2_password插件，老客户端（如MySQL 5.6客户端、某些Python驱动）不兼容，可临时改成mysql_native_password：ALTER USER 'u'@'x.x.x.x' IDENTIFIED WITH mysql_native_password BY 'pwd'; - 用户是否存在多条记录：比如同时有
'u'@'192.168.1.100'和'u'@'%'，而你改的是后者，但实际匹配到了前者（因为更精确） - 是否启用了
skip-name-resolve：如果开了，MySQL不会做DNS反查，host必须是IP，不能是域名；关了则可能因DNS延迟或失败导致认证超时
复杂点在于：权限校验是连接建立前完成的，但错误提示不告诉你具体卡在哪一环——得靠SELECT ... FROM mysql.user + SHOW GRANTS FOR ... + 网络抓包（如tcpdump -i any port 3306）交叉验证。
