MySQL监控需授予REPLICATION CLIENT（查主从状态）、PROCESS（查线程）和SELECT（查information_schema/performance_schema）权限；确保MySQL监听正确地址、performance_schema开启、密码URL编码，避免连接失败或指标缺失。
MySQL监控账号没有REPLICATION CLIENT权限
很多监控工具（比如Percona Monitoring and Toolkit、Zabbix的MySQL模板、Prometheus mysqld_exporter）启动后报 Access denied; you need (at least one of) the SUPER, REPLICATION CLIENT privilege(s)，根本原因是监控账号缺关键权限。
REPLICATION CLIENT 不是用来复制的，而是让账号能执行 SHOW MASTER STATUS、SHOW SLAVE STATUS 等命令——这些是采集主从延迟、binlog位置、复制线程状态的必要操作。
- 别只给
SELECT权限，它对监控指标几乎没用 - 不要直接用
root账号跑监控，最小权限原则：只加REPLICATION CLIENT+PROCESS（查线程状态）+SELECT（查information_schema和performance_schema） - 执行授权时注意作用域：
GRANT REPLICATION CLIENT ON *.* TO 'monitor'@'192.168.1.%'; FLUSH PRIVILEGES;，ON *.*不能写成ON mysql.*
mysqld_exporter 连接被拒绝或超时
常见报错是 failed to connect to MySQL: dial tcp 127.0.0.1:3306: connect: connection refused 或 timeout: context deadline exceeded，这通常不是密码错，而是网络或MySQL服务端配置拦住了连接。
- 检查MySQL是否监听在
127.0.0.1而非localhost：如果只绑定了127.0.0.1，但 exporter 配置里写的是localhost，某些系统会走 socket 连接，而 mysqld_exporter 默认不支持 socket - 确认
skip-networking=OFF（默认是 OFF，但有些云数据库或加固镜像会开） - 检查
bind-address：若设为127.0.0.1，远程部署的 exporter 就连不上；若设为0.0.0.0，需配合防火墙和账号 host 限制 - Exporter 启动时用
--mysqld.exporter.mysql.user=monitor --mysqld.exporter.mysql.password=xxx --mysqld.exporter.mysql.address=127.0.0.1:3306显式指定地址，避免解析歧义
performance_schema 关闭导致关键指标缺失
像 mysql_global_status_threads_connected、mysql_info_schema_processlist 这类指标采集失败，或者 exporter 日志里反复出现 error collecting metric …: cannot fetch from performance_schema，大概率是 performance_schema=OFF。
- 该选项默认开启（MySQL 5.6+），但部分低配实例、Docker 镜像或旧版 RDS 可能关了它
- 重启生效：
SET GLOBAL performance_schema = ON;不起作用，必须改my.cnf中的performance_schema = ON并重启 mysqld - 开销可控：现代 MySQL 的 performance_schema 内存占用很轻，除非你启用了全部 instruments（默认只开基础项）
- 不开它，就看不到慢查询分布、锁等待链、语句执行频次等深度指标，监控只剩“CPU高不高”这种表层判断
监控账号密码含特殊字符引发 exporter 解析失败
如果密码里有 @、/、:、? 这类 URL 保留字符，用 --mysqld.exporter.mysql.address=user:pass@host:port 方式传参时，@ 会被当成用户名与 host 的分隔符，导致认证失败。
- 最稳妥方式是用环境变量或配置文件：把
DATA_SOURCE_NAME="user:password@tcp(127.0.0.1:3306)/"写进.env，再让 exporter 加载 - 如果必须命令行传，得对密码做 URL 编码：比如密码
pa@ss/word要写成pa%40ss%2Fword - 别依赖 shell 自动转义，
export DSN="user:pa@ss@127.0.0.1:3306"这种写法在大多数场景下会直接截断
权限、网络、配置开关、字符串编码——这四个点卡住绝大多数 MySQL 监控接入问题。其中 performance_schema 是否启用最容易被忽略，因为错误不报在连接阶段，而是静默丢指标，看着数据“少了一块”却找不到原因。
