MySQL无法远程连接的根本原因是默认只监听127.0.0.1且用户host为'localhost'，需同时修改bind-address配置、授权指定host用户、刷新权限并放行防火墙。
MySQL 用户权限没开远程访问，连不上就是这个原因
默认安装的 MySQL 只监听 127.0.0.1，且 root 用户的 host 字段是 'localhost'，这意味着它根本拒绝任何来自其他机器的连接请求。不是密码错、不是端口关，就是权限和绑定地址双重锁死。
- 先确认 MySQL 是否监听公网：执行
netstat -tlnp | grep :3306，如果只看到127.0.0.1:3306或::1:3306，说明没放开绑定 - 检查用户 host：登录 MySQL 后运行
SELECT user, host FROM mysql.user;，若目标用户（比如app_user）的host是'localhost'，那它只能本机连 - 别直接改
root@localhost的 host 为'%'—— 这等于裸奔，后面会说更安全的做法
授权指定 IP 访问时，GRANT 语句必须带引号和精确 host
MySQL 的 host 字段区分大小写、支持通配符但不模糊匹配。写成 '192.168.1.%' 和 '192.168.1.100' 效果完全不同，漏掉引号或写错格式会导致授权失败或权限无效。
- 给固定 IP 授权：用
CREATE USER 'app_user'@'192.168.1.100' IDENTIFIED BY 'pwd123';，再GRANT SELECT,INSERT ON mydb.* TO 'app_user'@'192.168.1.100'; - 允许某网段：host 写成
'192.168.1.%'，注意%是通配符，不能写成'192.168.1.*'（这是错的） - 千万别省略
@'xxx'部分：只写GRANT ... TO 'app_user';默认等价于'app_user'@'%'，但你未必想开全网 - 执行完务必
FLUSH PRIVILEGES;，否则权限不生效 —— 这步常被跳过
bind-address 和 skip-networking 必须同时检查
即使用户权限开了，MySQL 服务本身不接受 TCP 连接，照样连不上。关键配置在 my.cnf（常见路径：/etc/mysql/my.cnf 或 /etc/my.cnf），两个参数决定能否远程通信。
- 找到
[mysqld]段，确认没有skip-networking这行（有就删掉或注释） -
bind-address默认可能是127.0.0.1；要允许远程，改成0.0.0.0（所有 IPv4）或具体内网 IP（如192.168.1.10），不要写成localhost - 改完重启服务：
sudo systemctl restart mysql（Ubuntu/Debian）或sudo systemctl restart mysqld（CentOS/RHEL） - 防火墙也要放行：比如
sudo ufw allow 3306或sudo firewall-cmd --add-port=3306/tcp --permanent
ERROR 1130 “Host … is not allowed to connect” 的真实含义
这个错误不是网络不通，而是 MySQL 明确拒绝了认证请求 —— 原因只有两个：用户不存在对应 host 的记录，或者存在但密码校验失败（注意：不同 host 的同名用户可以有不同密码）。
- 查不到用户：运行
SELECT user,host FROM mysql.user WHERE user='app_user';，如果结果为空或 host 不匹配，就是没授权成功 - 密码不对：用
ALTER USER 'app_user'@'192.168.1.100' IDENTIFIED WITH mysql_native_password BY 'newpwd';重设（尤其 MySQL 8.0+ 默认用 caching_sha2_password，某些客户端不兼容） - 连接时必须显式指定 host：
mysql -h 192.168.1.10 -u app_user -p，不能只写mysql -u app_user -p（那样默认走 localhost socket）
防火墙、bind-address、用户 host、密码加密方式，四个点只要一个没对上，就会卡在“连不上”。尤其是 host 字段和 bind-address，它们一个管“谁可以连”，一个管“我听谁的”，容易混淆。
