mysql容器外部无法连接root用户，因默认仅允许localhost访问；需启动时设mysql_root_host=%，或进容器执行create user+grant并指定mysql_native_password插件，同时确保宿主机防火墙及云安全组放行3306端口。
MySQL容器启动后，root用户从外部连不上，先看报错类型
常见错误是：Host 'x.x.x.x' is not allowed to connect to this MySQL server。这说明网络层已通（端口能telnet通），但MySQL明确拒绝了该IP的认证请求——不是防火墙或Docker映射问题，而是权限配置没生效。
docker run 启动时没设 MYSQL_ROOT_HOST，root 默认只认 localhost
MySQL官方镜像（8.0+）默认不创建 'root'@'%' 用户，即使你指定了 MYSQL_ROOT_PASSWORD，它也只初始化 'root'@'localhost'。所以外部连接必然失败。
- 正确做法：启动容器时显式指定
-e MYSQL_ROOT_HOST=% - 错误写法：
docker run -e MYSQL_ROOT_PASSWORD=123456 mysql:8.0→root仍只能本地连 - 正确命令示例：
docker run -d \ --name mysql8 \ -p 3306:3306 \ -e MYSQL_ROOT_PASSWORD=123456 \ -e MYSQL_ROOT_HOST=% \ -v mysql-data:/var/lib/mysql \ mysql:8.0
- 注意：
MYSQL_ROOT_HOST是 MySQL 官方镜像支持的环境变量，仅对 8.0+ 有效；5.7 及更早版本不识别，需进容器手动授权
进容器手动授权时，UPDATE user SET host='%' WHERE ... 不生效？可能是插件或语法问题
MySQL 8.0 默认用 caching_sha2_password 插件，而旧客户端（如某些 Navicat 版本）不兼容；同时直接 UPDATE user 表在 8.0+ 已不推荐，容易漏掉密码字段或插件配置。
- 安全做法：用
CREATE USER+GRANT替代直接改表CREATE USER 'root'@'%' IDENTIFIED WITH mysql_native_password BY '123456';<br>GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' WITH GRANT OPTION;<br>FLUSH PRIVILEGES;
- 如果已有
'root'@'%'但连不上，检查插件：SELECT host, user, plugin FROM mysql.user WHERE user = 'root';→ 若 plugin 是caching_sha2_password，强制切回：ALTER USER 'root'@'%' IDENTIFIED WITH mysql_native_password BY '123456'; - 别漏
FLUSH PRIVILEGES;，否则权限不加载
宿主机 firewalld 或云服务器安全组开了端口，但依然连不上
端口映射（-p 3306:3306）只解决 Docker 到宿主机的转发，不解决宿主机到外部的放行。很多用户卡在这一步，以为“映射了就等于开放了”。
- CentOS/RHEL：确认
firewalld开放的是宿主机监听的端口（比如你映射到3306，就开3306/tcp，不是容器内端口） - 云服务器（阿里云/腾讯云等）：安全组规则必须允许目标端口（如
3306）从你的 IP 或0.0.0.0/0进入 - 验证方式：在另一台机器执行
telnet your-server-ip 3306，能连上才说明网络层通畅；连不上就先查防火墙和安全组，别急着改 MySQL 权限
真正卡点往往在三处：启动时没设 MYSQL_ROOT_HOST、8.0+ 的密码插件不兼容、宿主机防火墙没开对端口。改完任一环节，都得重新验证 telnet + 客户端连接，缺一不可。
