必须改，因为mysql 8.0+默认bind-address=127.0.0.1会彻底拒绝所有非本地tcp连接，请求根本无法到达认证层，即使防火墙开放、用户权限设为'%'也无效。
bind-address 为什么必须改，而不是“可能要改”
MySQL 8.0+ 默认 bind-address = 127.0.0.1，迁移时若直接复用旧配置或一键脚本安装，这个值几乎必然被继承。它不是“限制远程”，而是**彻底拒绝所有非本地 TCP 连接**——哪怕防火墙全开、用户权限设为 'user'@'%'，连接请求根本到不了 MySQL 的认证层。
实操建议：
- 先确认当前值：
SELECT @@bind_address;或查配置文件（常见路径：/etc/mysql/mysql.conf.d/mysqld.cnf或/etc/my.cnf） - 想允许所有 IPv4 外部访问，设为
bind-address = 0.0.0.0；若只允内网，可设为服务器实际网卡 IP（如192.168.1.10），但注意这不是网段过滤，只是监听地址 - 改完必须重启服务：
sudo systemctl restart mysql（Ubuntu/Debian）或sudo systemctl restart mysqld（CentOS/RHEL） - 别漏掉
skip-networking：如果配置里有这行且未注释，MySQL 会直接禁用 TCP/IP，bind-address彻底失效
mysqlx-bind-address 不配，某些客户端就真连不上
MySQL 8.0+ 默认启用 X Protocol（用于 MySQL Shell、新版 Connector/J 的 X DevAPI 模式等）。它的绑定地址由独立参数 mysqlx-bind-address 控制，和 bind-address 无关。如果它仍为 127.0.0.1，而你的客户端（比如 Navicat 新版、Spring Boot 3.x 默认驱动）尝试走 X Protocol，就会静默失败——连错误都不报，只显示“连接超时”或“拒绝连接”。
实操建议：
- 在配置文件中搜索
mysqlx-bind-address，若存在且值为127.0.0.1，改为0.0.0.0或与bind-address一致 - 若不需要 X Protocol，可显式关闭：
mysqlx=OFF（加在[mysqld]段） - 改完同样需重启 MySQL，并用
netstat -tlnp | grep :3306和netstat -tlnp | grep :33060分别确认两个端口是否监听在0.0.0.0
防火墙规则不是“开了 3306 就万事大吉”
云服务器（腾讯云、阿里云、AWS 等）的“安全组”是第一道关卡，它和系统防火墙（ufw / firewalld）是两层独立策略。常见错误是：只开了系统防火墙，却忘了配安全组；或者安全组开了 3306，但协议选了 UDP 而不是 TCP；又或者入方向规则没指定源 IP（用了 0.0.0.0/0 却误写成 0.0.0.0）。
实操建议：
- 先从外部机器测试端口通不通：
telnet your-server-ip 3306或nc -zv your-server-ip 3306 - 不通？立即跳过 MySQL 配置，去查安全组——这是绝大多数云环境问题的根源
- Linux 系统防火墙检查：
sudo ufw status（Ubuntu）或sudo firewall-cmd --list-ports（CentOS/RHEL），确保含3306/tcp - 别信“我刚开了”，重启防火墙服务或重载规则（
sudo ufw reload/sudo firewall-cmd --reload）再测
用户权限里的 host 值，% 和 localhost 是完全不同的账号
执行 SELECT user, host FROM mysql.user; 时，看到 root 用户的 host 是 localhost，不代表它能远程登录——'root'@'localhost' 和 'root'@'%' 在 MySQL 里是两个独立账号，权限互不影响。很多迁移后“本地能连、远程不能”的情况，就是因为只授权了前者。
实操建议：
- 不要直接改 root 的 host 字段（风险高），而是新建专用远程账号：
CREATE USER 'appuser'@'%' IDENTIFIED BY 'strong-pass'; - 授予权限：
GRANT SELECT, INSERT, UPDATE ON mydb.* TO 'appuser'@'%';（避免用ALL PRIVILEGES和*.*） - 刷新权限：
FLUSH PRIVILEGES; - 验证：
SELECT user, host, plugin FROM mysql.user WHERE user = 'appuser';，确认plugin是mysql_native_password（尤其 MySQL 8.0+ 默认用caching_sha2_password，老客户端不兼容）
最容易被忽略的点是：bind-address 和 mysqlx-bind-address 必须同时生效，且 netstat 要亲眼看到两个端口都监听在 0.0.0.0；安全组规则必须精确匹配协议、端口、源 IP 段；用户权限的 host 值必须和客户端发起连接时的真实来源 IP 匹配——哪怕只差一个字符，MySQL 就当它是另一个账号。
