mysql默认监听0.0.0.0会暴露所有网卡ip，必须显式设bind-address为业务所需单ip（如192.168.209.121），配合防火墙按网卡/ip放行及user@host权限控制，缺一不可。
MySQL 默认监听 0.0.0.0，在多网卡服务器上等于把所有 IP（包括公网、内网、测试网段）都暴露出去——这不是“能连上”，而是“谁都能连上”。必须显式限制它只绑定业务需要的 IP。
确认 MySQL 当前监听地址和端口
先看真实情况，别猜配置文件是否生效：
- 运行
ss -tlnp | grep :3306或netstat -tuln | grep :3306 - 重点看输出中第二列（Local Address:Port），例如：
*:3306表示监听所有 IPv4 地址；127.0.0.1:3306表示仅本地；192.168.209.121:3306才是正确绑定到某张网卡 - 如果看到
:::3306（IPv6 全监听），说明bind-address对 IPv6 无效，需额外处理（见下条）
修改 my.cnf / my.ini 中的 bind-address
bind-address 是核心开关，但它不支持逗号分隔多个 IP（MySQL 官方明确不支持）。常见误区是写成 bind-address = 127.0.0.1,192.168.1.100 ——这会导致 MySQL 启动失败或静默忽略后半部分。
- 只允许填一个 IPv4 地址，例如：
bind-address = 192.168.209.121（对应内网网卡） - 若还需监听本地管理连接，保留
127.0.0.1，但必须配合skip-networking = OFF（默认即关） - IPv6 需单独控制：MySQL 5.7+ 支持
bind-address = ::1（仅本地 IPv6），但无法同时绑定 IPv4 和 IPv6 地址；想两者兼顾，只能设为0.0.0.0并靠防火墙兜底——不推荐 - WAMP 用户注意：
my.ini路径通常为WAMP\bin\mysql\mysqlX.X.X\my.ini，改完必须重启服务，不是重载
MySQL 不支持多 IP 绑定？用防火墙补位
MySQL 本身不提供“监听多个业务 IP”的原生能力。所谓“多网卡绑定”，本质是让 MySQL 监听一个安全 IP（如内网），再通过防火墙规则决定哪些来源可访问该端口。
- 例如：MySQL 绑定
192.168.209.121，但你想允许另一台内网机器192.168.209.50连接 3306，则防火墙放行即可，无需 MySQL 改配置 - 禁止公网访问 3306 的最简命令：
iptables -A INPUT -i eth0 -p tcp --dport 3306 -j DROP（假设eth0是公网网卡） - 更精细的做法是按源 IP 段放行：
iptables -A INPUT -s 192.168.209.0/24 -p tcp --dport 3306 -j ACCEPT，然后iptables -P INPUT DROP - 务必检查
iptables -L -n -v输出，确认规则已加载且计数器在增长
用户权限才是跨网卡访问的关键
即使 MySQL 绑定了某个 IP，如果创建用户时没指定来源主机，照样连不上。权限粒度比绑定更细：
- 错误示范：
CREATE USER 'app'@'%' IDENTIFIED BY 'pwd';——%允许任意 IP，但前提是 MySQL 本身得监听那个 IP - 正确做法：
CREATE USER 'app'@'192.168.209.50' IDENTIFIED BY 'pwd';或CREATE USER 'app'@'192.168.209.%' IDENTIFIED BY 'pwd'; - 执行
GRANT SELECT ON mydb.* TO 'app'@'192.168.209.50'; FLUSH PRIVILEGES;后才真正生效 - 注意：MySQL 8.0 默认启用
caching_sha2_password插件，某些旧客户端可能不兼容，必要时加IDENTIFIED WITH mysql_native_password
真正容易被忽略的是：改了 bind-address 后不验证 ss 输出，也不检查用户 host 字段是否匹配实际来源 IP。这两步任缺其一，都会导致“配置写了，却连不上”。
