mysql 8.0远程连接失败主因是监听地址、认证插件、网络通路三道关卡未通：需将bind-address设为0.0.0.0并重启服务，用户认证插件改为mysql_native_password，且系统防火墙与云安全组必须放行3306端口。
MySQL 8.0 配置了 GRANT 权限却连不上，大概率不是权限问题，而是卡在更底层的三道关卡：监听地址、认证插件、网络通路。下面按排查优先级展开。
bind-address = 127.0.0.1 是默认拦路虎
即使你执行了 CREATE USER 'user'@'%' IDENTIFIED BY 'pwd' 和 GRANT ALL ON *.* TO 'user'@'%'，只要 MySQL 进程只监听 127.0.0.1:3306，外部 TCP 包根本进不来。
- 查当前监听：运行
ss -tlnp | grep :3306，输出里必须含0.0.0.0:3306或*:3306，不能只有127.0.0.1:3306 - 改配置：编辑
/etc/mysql/mysql.conf.d/mysqld.cnf，找到bind-address = 127.0.0.1这行，注释掉或改为bind-address = 0.0.0.0 - 重启服务：必须执行
sudo systemctl restart mysql，否则修改不生效 - 注意：云服务器上还要同步检查
mysqlx-bind-address，它也得放开（否则 MySQL X Protocol 会拦截）
caching_sha2_password 导致静默拒绝
MySQL 8.0 默认用 caching_sha2_password 插件，但很多客户端（旧版 Navicat、PHP 7.4 以下、某些 JDBC 驱动）不支持，连接时既不报错也不提示，直接断开。
MySQL（Linux）
下载
MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。
- 查用户认证方式：
SELECT user, host, plugin FROM mysql.user WHERE user = 'your_user'; - 如果
plugin列是caching_sha2_password，且你用的是老客户端，就需降级： ALTER USER 'your_user'@'%' IDENTIFIED WITH mysql_native_password BY 'your_pwd';- 别漏掉
FLUSH PRIVILEGES;，否则不生效 - 生产环境不建议全局改回
mysql_native_password，只对特定远程账户调整即可
防火墙和安全组比 MySQL 更早拦下请求
MySQL 监听了 0.0.0.0:3306，不代表你能连上——系统防火墙或云平台安全组可能已把 3306 拦在门外。
- 本地防火墙检查（Ubuntu）：
sudo ufw status verbose，确认有3306/tcp入站规则；没有就加：sudo ufw allow 3306 - CentOS/RHEL：
sudo firewall-cmd --list-ports，缺就补：sudo firewall-cmd --permanent --add-port=3306/tcp && sudo firewall-cmd --reload - 云服务器（阿里云/腾讯云等）：必须进「安全组」控制台，手动添加入方向规则，协议选 TCP，端口填
3306，源 IP 不要写成127.0.0.1——测试阶段可设为0.0.0.0/0，上线前务必收紧 - 别忽略第三方防护软件：360、火绒、Mac 防火墙等常自带网络过滤，需单独放行
mysqld进程
最容易被跳过的其实是验证顺序：先用 telnet your-server-ip 3306 看端口通不通，再查 MySQL 是否真在监听，最后才碰权限和认证。跳过前面两步直接调 SQL，等于在修车时反复拧螺丝却不检查油是否加满。
