创建用户时host值必须显式指定为'localhost'，因其与'127.0.0.1'和空字符串路径不同，前者走unix socket后者走tcp；建用户须用create user 'u'@'localhost'，改host须用rename user，grant需匹配host，重复host记录应清理，本地连接需注意驱动默认行为，bind-address不控制权限，真正安全依赖权限最小化而非网络限制。
创建用户时 Host 值必须显式写成 'localhost'
MySQL 的 Host 字段不是通配符匹配，而是精确匹配（除 '%' 外）。写成 '127.0.0.1' 或空字符串，都**不等于** 'localhost' —— 这俩在 MySQL 里是完全不同的连接路径：'localhost' 强制走 Unix socket，'127.0.0.1' 走 TCP/IP 回环。很多同学以为加了 bind-address = 127.0.0.1 就安全了，其实没用，只要用户 Host 是 '%' 或 '127.0.0.1'，照样能连。
实操建议：
- 建用户必须用
CREATE USER 'admin'@'localhost' IDENTIFIED BY 'xxx';，不能省略@'localhost'，也不能写成@''或@'%' - 已有用户想改 Host，不能只改
mysql.user表，得用RENAME USER 'admin'@'%' TO 'admin'@'localhost';，否则权限可能不生效 -
GRANT语句里的ON *.*必须跟用户 Host 一致，比如GRANT ALL PRIVILEGES ON *.* TO 'admin'@'localhost';
mysql.user 表里 host 字段有多个 'localhost' 记录怎么办
执行 SELECT User, Host FROM mysql.user WHERE User = 'admin'; 后发现多条 'localhost' 记录？常见于反复执行 CREATE USER 或导入 SQL 时没检查重复。MySQL 允许同名用户不同 Host，但权限叠加逻辑容易出错：只要有一条 Host 不是 'localhost'，就可能被绕过。
实操建议：
- 删干净再重建：
DROP USER 'admin'@'localhost'; DROP USER 'admin'@'%'; DROP USER 'admin'@'127.0.0.1'; - 确认只剩一条：
SELECT User, Host FROM mysql.user WHERE User = 'admin'; - 别依赖
FLUSH PRIVILEGES;——CREATE/RENAME/DROP USER会自动重载权限，手动刷反而可能掩盖问题
本地程序连不上 'localhost' 用户？检查客户端连接方式
PHP、Python、Node.js 默认用 TCP 连 127.0.0.1，哪怕你写的是 host=localhost。很多驱动会把 localhost 自动转成 127.0.0.1，结果匹配到 '127.0.0.1' 用户（如果存在），或直接拒绝（如果只建了 'localhost'）。
实操建议：
- PHP PDO：显式指定 socket，如
unix_socket=/var/run/mysqld/mysqld.sock；或把 host 改成127.0.0.1并额外建'admin'@'127.0.0.1' - 命令行测试：用
mysql -u admin -p -h localhost和mysql -u admin -p -h 127.0.0.1分别试，看哪个报Access denied - 查当前连接来源：
SELECT USER(), CURRENT_USER();—— 前者显示你「声称」是谁，后者才是 MySQL 实际认证的用户+Host
为什么 bind-address 设成 127.0.0.1 还不保险
bind-address 只控制 MySQL 监听哪个 IP，不控制「谁有权限连」。它防不住本地用户，也防不住已经存在的 '%' / '127.0.0.1' 用户。更麻烦的是：某些系统（如 Docker 容器、systemd 管理的 mysqld）会忽略 my.cnf 里的 bind-address，改用默认值 0.0.0.0。
实操建议：
- 确认生效：运行
sudo ss -tlnp | grep :3306，看监听的是127.0.0.1:3306还是*:3306 - 真正保险的方式只有两个：删掉所有非
'localhost'的超级用户 + 确保没有'%'用户拥有GRANT OPTION - 防火墙是最后一道防线，但别依赖它代替权限设计 ——
ufw deny from 192.168.1.100 to any port 3306挡不住本机进程
事情说清了就结束。最常漏掉的点是：以为建了 'localhost' 用户就万事大吉，结果忘了删掉安装时自动生成的 'root'@'%'，或者开发环境顺手 GRANT 出了一个 'dev'@'192.168.%' 还带 WITH GRANT OPTION。
