MySQL用户Host字段必须匹配容器真实IP段（如172.18.0.%），不能仅用'%'；需结合docker inspect查IP、network inspect查子网，创建用户并FLUSH PRIVILEGES，同时启用skip-name-resolve避免DNS解析延迟。
MySQL 用户 Host 字段必须写容器所在子网 IP 段，不能只填 %
想让某个用户只能从特定 docker 容器连接，关键不是限制 phpmyadmin，而是控制 mysql 的 user 表中 host 列的值。mysql 会把客户端真实来源 ip（比如 172.18.0.3）和这个字段做精确匹配——填 '%' 虽然能连上，但等于放行所有 ip，不满足“指定容器”要求。
实操建议：
- 先查 phpMyAdmin 容器在哪个网络、IP 是多少：
docker inspect phpmyadmin | grep IPAddress - 确认 MySQL 容器用的是自定义桥接网络（如
myapp_net），再查该网络子网：docker network inspect myapp_net | grep Subnet，常见是172.18.0.0/16 - 建用户时用子网段通配，例如：
CREATE USER 'appuser'@'172.18.0.%' IDENTIFIED BY 'pass123'; - 授权后执行：
FLUSH PRIVILEGES;
PMA_HOST 填容器名，但 MySQL 认的是连接发起方的真实 IP
很多人以为只要 PMA_HOST 设成 mysql-db，MySQL 就会“知道”这是来自 phpMyAdmin 容器——其实不会。MySQL 只看到 TCP 连接源 IP，也就是 phpMyAdmin 容器在 Docker 网络中的实际地址（如 172.18.0.3）。所以 Host 字段必须覆盖这个范围，而不是依赖服务名。
常见错误现象：
- phpMyAdmin 登录页显示空白或 500 错误，MySQL 日志里却没记录任何连接尝试 →
PMA_HOST填了localhost或127.0.0.1，phpMyAdmin 容器自己连自己，根本没发到 MySQL - 报错
Access denied for user 'appuser'@'172.18.0.3'→ 用户存在，但Host字段是'localhost'或'172.18.0.4'，不匹配当前容器 IP - 改用
'%'后能连，但不符合安全要求 → 这说明网络层通了，只是权限粒度太粗
MySQL 8+ 默认禁用 root@% ，得显式创建或换普通用户
Docker 官方 MySQL 镜像（v8.0.23+）支持 MYSQL_ROOT_HOST 环境变量，但默认仍是 localhost。如果你依赖 root 用户，必须主动设它；否则更推荐新建专用用户，避免权限过大。
实操建议：
- 启动 MySQL 容器时加：
-e MYSQL_ROOT_HOST=%（仅 root 场景） - 或更稳妥：用
MYSQL_USER+MYSQL_PASSWORD创建普通用户，再在 MySQL 里执行CREATE USER 'appuser'@'172.18.0.%' - 别忘了
GRANT权限后要FLUSH PRIVILEGES;，否则不生效 - 验证命令：
SELECT User, Host FROM mysql.user WHERE User = 'appuser';
跳过 DNS 解析可避免连接卡住，尤其在自定义网络里
MySQL 默认会对客户端 IP 做反向 DNS 查询（skip-name-resolve=OFF），如果容器内没配好 DNS 或网络延迟高，会导致连接 hang 住几秒甚至超时，现象是 phpMyAdmin 加载慢、偶尔白屏。
解决方法很简单：在 MySQL 容器的 my.cnf 里加一行：
[mysqld] skip-name-resolve=ON
然后重启 MySQL 容器。这会让 MySQL 直接信任客户端 IP，不再查 hostname，对 Docker 环境特别友好。
真正容易被忽略的是：即使网络连通、用户名密码都对，skip-name-resolve 关着也可能导致连接不稳定——尤其是你已经确认 IP 段匹配、仍偶发失败时，优先检查这项。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
