答案是/var/lib/mysql归属必须为mysql:mysql且权限为750，初始化须用sudo -u mysql执行；若已用root初始化则需清空重来，同时检查systemd沙箱、配置文件及socket目录权限。
检查 /var/lib/mysql 目录归属和权限
启动失败时日志里出现 Permission denied 且路径指向 /var/lib/mysql，90% 是这里的问题。运行 ls -ld /var/lib/mysql，输出必须是 drwxr-x--- 11 mysql mysql 这类格式——第三、四字段都得是 mysql。
如果不是，立刻执行：sudo chown -R mysql:mysql /var/lib/mysqlsudo chmod 750 /var/lib/mysql
注意：
- 别用 chmod 777，MySQL 启动时会拒绝权限过宽的目录
- 如果目录不存在，先 sudo mkdir -p /var/lib/mysql 再赋权，否则 mysqld --initialize 直接退出
- chown -R 必须加 -R，否则子目录和文件仍属 root
确保 mysqld --initialize 以 mysql 用户执行
mysql_install_db 在 MySQL 5.7.6+ 已废弃，但很多文档还在用。用 root 跑 mysqld --initialize 会导致 ibdata1、auto.cnf 等文件属主为 root，后续 mysql 用户完全无法读取。
正确命令是：sudo -u mysql mysqld --initialize --datadir=/var/lib/mysql --user=mysql
关键点：
- 漏掉 --user=mysql 参数，或 --datadir 路径写错，都会让初始化生成的文件权限失控
- 如果已用 root 初始化过，清空 /var/lib/mysql 再重来，不要只 chown 单个文件——ib_logfile* 权限可能仍被锁死
排查 systemd 沙箱限制（ProtectHome / NoNewPrivileges）
journal 日志只报 Operation not permitted，但 ls -l 全正常？大概率是 systemd 沙箱拦住了。运行 sudo systemctl cat mysqld，重点看是否有：ProtectHome=yes 或 NoNewPrivileges=yes
ProtectHome=yes 会阻止访问 /var/lib/mysql（该路径属 ProtectHome 范围）；NoNewPrivileges=yes 会禁用动态加载插件能力。
临时调试可：sudo systemctl edit mysqld，写入：
[Service]<br>ProtectHome=false<br>NoNewPrivileges=false
生产环境应配 SELinux 策略，而非关保护
确认配置文件和 socket/log 路径权限
MySQL 启动时若发现 /etc/my.cnf 权限是 0666 或属主不是 root，会直接退出并报 File protection error。修复：sudo chown root:root /etc/my.cnf && sudo chmod 644 /etc/my.cnf
systemd 服务默认以 User=mysql 运行，但它无法自动创建父目录。常见需手动创建并授权的路径：
- /run/mysqld（socket 目录）
- /var/log/mysql（日志目录）
- /var/run/mysqld
逐个执行：sudo mkdir -p /run/mysqldsudo chown mysql:mysql /run/mysqldsudo chmod 755 /run/mysqld
注意：/run 是内存文件系统，重启后清空，长期方案需通过 tmpfiles.d 配置持久化
最易被忽略的是：所有权限修复操作必须在初始化之前完成；一旦用错用户初始化过，光改目录权限没用，得清空重来。另外，setcap 授权只对 /usr/bin/mysqld 这类 ELF 二进制有效，对 mysqld_safe 这类 shell wrapper 无效。
