mysql 8.0+ 禁止直接 update mysql.user 表，应使用 create user 或 alter user 配置远程访问，并配合 grant 授权、flush privileges 刷新缓存，同时需检查 bind-address、防火墙及云安全组配置。
MySQL 8.0+ 不要直接 UPDATE mysql.user 表
直接执行 UPDATE mysql.user SET host='%' WHERE user='root' 在 MySQL 8.0+ 上大概率失败，报错 ERROR 1396 (HY000): Operation ALTER USER failed 或触发 --skip-grant-tables 冲突。这是因为 8.0+ 废除了直改系统表的权限模型，user 表由 ALTER USER / CREATE USER 自动维护，手动更新会破坏校验逻辑和 plugin 字段一致性。
正确做法是：
- 如果用户还不存在远程版本：用
CREATE USER 'root'@'%' IDENTIFIED BY 'your_password' - 如果已存在但 host 是
'localhost'：用ALTER USER 'root'@'localhost' RENAME TO 'root'@'%' - 无论哪种，后续必须
GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' WITH GRANT OPTION -
FLUSH PRIVILEGES不可省——否则内存缓存不刷新，新权限不生效
bind-address 配置错位是常见静默拦截点
即使 user 表权限全开，MySQL 仍可能拒绝所有远程连接，原因在配置文件里绑死了监听地址。默认配置中 bind-address = 127.0.0.1 只接受本机 TCP 请求，远程包根本进不来。
检查并修改以下任一配置文件（取决于发行版）：
-
/etc/mysql/mysql.conf.d/mysqld.cnf（Ubuntu/Debian） -
/etc/my.cnf或/etc/my.cnf.d/mysql-server.cnf（CentOS/RHEL）
找到 [mysqld] 段下的 bind-address 行，改为：
bind-address = 0.0.0.0
或直接注释掉该行（效果等同于监听全部 IPv4 地址）。改完必须重启服务：systemctl restart mysql（Debian/Ubuntu）或 systemctl restart mysqld（RHEL/CentOS）。
云服务器安全组比本地防火墙更优先拦截 3306
本地 ufw 或 firewalld 放行 3306 端口只是基础，云平台（阿里云、腾讯云、AWS）的安全组规则是第一道网关。安全组默认拒绝所有入方向流量，3306 端口几乎总是关闭状态。
必须登录云控制台，在对应实例的安全组中添加入方向规则：
- 协议类型：TCP
- 端口范围：3306
- 源 IP：不要填
0.0.0.0/0（高危），建议限定具体客户端 IP 或 IP 段（如192.168.1.0/24）
注意：安全组变更即时生效，无需重启云服务器或 MySQL 服务。
验证链路时别跳过 telnet 或 nc 检查
连不上时，很多人直接回退到 MySQL 权限排查，但真实瓶颈常在更底层。先确认网络层是否通：
- 从客户端机器执行：
telnet your_server_ip 3306（Windows）或nc -zv your_server_ip 3306（Linux/macOS） - 如果超时或 Connection refused，说明请求没到达 MySQL 进程——此时问题在安全组、本地防火墙、或
bind-address - 如果返回
Connected to ...，但 MySQL 客户端仍报Access denied，才进入权限排查阶段
真正能连通的完整路径是：客户端 → 云安全组 → 服务器防火墙 → MySQL bind-address → mysql.user 表匹配（user + host + plugin + 密码）。漏掉任意一环，都会表现为“连不上”，但原因完全不同。
