mysql默认只监听127.0.0.1且root仅限本地登录，远程连接需同时满足三条件：修改bind-address为0.0.0.0并重启服务、创建'用户'@'%'并授权、开放3306端口及安全组规则。
mysql 默认只监听 127.0.0.1，且 root 用户默认只允许本地登录。不改配置、不授权、不放端口，远程连不上是必然结果——不是客户端问题，而是服务端三道关卡全没过。
修改 mysqld 监听地址为 0.0.0.0
MySQL 启动时读取的配置文件（如 /etc/mysql/mysql.conf.d/mysqld.cnf 或 /etc/my.cnf）里，bind-address 决定它听哪个 IP。默认值通常是 127.0.0.1 或被注释掉（等效于只绑本地）。必须显式设为：bind-address = 0.0.0.0
注意：
- 不要写成 bind-address = *（无效语法）
- 修改后必须重启服务：sudo systemctl restart mysql（Ubuntu/Debian）或 sudo systemctl restart mysqld（CentOS/RHEL）
- 重启失败？检查日志：sudo journalctl -u mysql --since "1 hour ago"，常见报错是配置语法错误或端口被占
创建专用远程用户并最小化授权
直接改 root 用户的 host 为 % 是高危操作，生产环境禁止。应新建用户，按需赋权：
- 创建用户：CREATE USER 'appdb'@'%' IDENTIFIED BY 'StrongP@ss2026';
- 授权（示例：仅对 myapp 库有读写）：GRANT SELECT, INSERT, UPDATE, DELETE ON myapp.* TO 'appdb'@'%';
- 刷新权限：FLUSH PRIVILEGES;
关键点：
- 'appdb'@'%' 中的 % 允许任意 IP，若只允某内网段，写成 'appdb'@'192.168.1.%'
- GRANT 后不执行 FLUSH PRIVILEGES，权限不会生效（MySQL 8.0+ 仍需此步）
- 查看当前用户权限：SELECT host, user, authentication_string FROM mysql.user WHERE user = 'appdb';
开放 3306 端口并确认防火墙策略生效
即使 MySQL 监听了所有地址、用户也授权了，防火墙挡在中间照样连不通：
- Linux（ufw）：sudo ufw allow 3306/tcp
- Linux（firewalld）：sudo firewall-cmd --permanent --add-port=3306/tcp && sudo firewall-cmd --reload
- 云服务器（阿里云/腾讯云/AWS）：
• 必须在控制台安全组中添加入站规则：3306/TCP，源 IP 可设为 0.0.0.0/0（测试用）或精确 IP
• 安全组 ≠ 系统防火墙，二者都要检查
- 验证端口是否真通：telnet your-server-ip 3306（本地测试）或 nc -zv your-server-ip 3306
连接失败时优先排查这三点
连不上别急着重装，先快速验证：
- netstat -tlnp | grep :3306：确认 mysqld 进程确实在监听 *:3306（不是 127.0.0.1:3306）
- mysql -u appdb -p -h 127.0.0.1：本机用 IP 连，排除用户权限问题
- mysql -u appdb -p -h your-server-ip（从另一台机器执行）：复现真实连接路径，同时抓包看是 TCP 握手失败（网络层），还是认证失败（MySQL 层）
最容易被忽略的是：云厂商安全组没开、FLUSH PRIVILEGES 漏执行、配置文件改了但重启的是错误的服务名（比如误重启 mysqld_safe 而非 mysql）
