mysql容器化部署如何配置初始权限_Docker MySQL环境初始化设置-mysql教程-PHP中文网

mysql容器启动时自动创建用户和数据库需依赖官方镜像的/docker-entrypoint-initdb.d/机制，将建库建用户sql（如create user 'app'@'%' identified with mysql_native_password by '123456'; grant all on mydb.* to 'app'@'%'; flush privileges;）放入init.sql并挂载，且host必须用'%'而非'localhost'，8.0+须显式指定认证插件。

mysql容器化部署如何配置初始权限_docker mysql环境初始化设置

MySQL容器启动时如何自动创建用户和数据库

容器启动后直接有可用账号，而不是进容器手动执行 CREATE DATABASE 和 CREATE USER，关键靠 MySQL 官方镜像支持的 /docker-entrypoint-initdb.d/ 初始化机制。

这个目录下所有 .sql、.sh 文件会在首次初始化（即 mysql_data 卷为空）时按字母顺序执行。注意：只在第一次运行生效，后续重启不重复执行。

把建库建用户 SQL 放进 init.sql，挂载到容器内 /docker-entrypoint-initdb.d/init.sql
SQL 中避免用 IF NOT EXISTS 判断库或用户——因为脚本根本不执行，不是“跳过”，是压根不触发
别在 .sh 脚本里用 mysql -u root -p$MYSQL_ROOT_PASSWORD 连接——$MYSQL_ROOT_PASSWORD 在初始化阶段不可用，要用 mysql -u root --socket=/var/run/mysqld/mysqld.sock
如果用了 mysql:8.0+，记得权限语句用 CREATE USER ... IDENTIFIED WITH caching_sha2_password BY 'xxx'，否则客户端可能连不上

Docker Compose 中如何安全传入 root 密码和普通用户权限

MYSQL_ROOT_PASSWORD 是唯一被官方镜像识别的 root 密码环境变量，但它不能用于创建普通用户；普通用户的权限必须在初始化 SQL 里显式定义，不能靠环境变量自动生成。

常见错误是以为设了 MYSQL_USER 和 MYSQL_PASSWORD 就能自动建账号——其实这两个变量只在 mysql:5.7 及更早版本部分生效，8.0+ 已废弃，且即使生效也只建用户、不赋权、不指定 host。

OpenClaw Docker Setup

在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...

下载

务必在 init.sql 中写全权限语句，例如：CREATE USER 'app'@'%' IDENTIFIED BY '123456'; GRANT ALL ON mydb.* TO 'app'@'%'; FLUSH PRIVILEGES;
host 写 '%' 而不是 'localhost'，否则应用容器（走 bridge 网络）无法连接
不要把密码写死在 docker-compose.yml 的 environment 下——改用 env_file 或 Docker secrets（生产环境）
MYSQL_DATABASE 环境变量只会建库，不会关联用户权限，别指望它自动授权

为什么 init.sql 执行了但新用户还是连不上

最常见原因是 MySQL 8.0 默认认证插件从 mysql_native_password 换成 caching_sha2_password，而很多客户端（尤其是老版本 PHP、某些 Python 驱动）不支持后者，报错通常是：Authentication plugin 'caching_sha2_password' cannot be loaded。

这不是权限问题，是握手失败。解决方式不是改权限，而是统一认证方式。

在 init.sql 中创建用户时显式指定插件：CREATE USER 'app'@'%' IDENTIFIED WITH mysql_native_password BY '123456';
或者启动容器时加配置项：command: --default-authentication-plugin=mysql_native_password
检查是否误用了 localhost 用户——容器间通信走的是 TCP，不是 socket，'user'@'localhost' 对容器应用完全不可见
确认没漏掉 FLUSH PRIVILEGES;（虽然 8.0 大多数情况不需要，但显式写上更稳）

挂载配置文件 vs 环境变量：哪些该放 my.cnf，哪些必须用 -e

my.cnf 控制服务行为（如字符集、日志、buffer 设置），而环境变量只影响初始化逻辑（root 密码、初始库名等）。两者混用容易导致预期外覆盖。

必须用环境变量的只有：MYSQL_ROOT_PASSWORD（必填）、MYSQL_DATABASE（可选）、MYSQL_ALLOW_EMPTY_PASSWORD（慎用）
字符集相关必须写进 my.cnf：比如 [mysqld] character-set-server=utf8mb4，光设环境变量无效
如果挂载了自定义 my.cnf，确保它包含 [mysqld] 段，且没有语法错误，否则容器会启动失败并报 mysqld: Can't read dir of '/etc/mysql/conf.d/'
不要在 my.cnf 里写 skip-networking 或 bind-address = 127.0.0.1——这会让其他容器根本连不上

事情说清了就结束。最常卡住的地方不是语法，是 MySQL 8.0 的认证插件和网络 host 匹配——这两点不盯住，初始化脚本写得再全也没用。