access denied错误主因是root@localhost缺失、认证插件不兼容或socket权限问题；需检查用户存在性、alter user切换mysql_native_password插件，并验证socket文件权限。
这个错误几乎总是由三类问题导致——密码不匹配、plugin认证插件不兼容，或mysql.user表里压根没有'root'@'localhost'这一行。别急着重装，95% 的情况靠几条 SQL 就能修好。
检查'root'@'localhost'是否存在且host精确匹配
MySQL 的用户是 'user'@'host' 二元组，'root'@'localhost' 和 'root'@'127.0.0.1' 是两个完全独立的账号。你执行 mysql -u root -p 默认走 Unix socket，要求必须存在 'root'@'localhost' 这一行。
- 用已有管理员账号登录后运行：
SELECT User, Host FROM mysql.user WHERE User = 'root'; - 如果结果里没有
localhost，只有%或127.0.0.1，就说明匹配失败 - 补全账号：
CREATE USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY '你的密码'; - 补完必须执行：
FLUSH PRIVILEGES;，否则不生效
确认并修复plugin认证插件不兼容
MySQL 5.7（尤其 Ubuntu/Debian 默认）和 MySQL 8.0+ 常把 'root'@'localhost' 的 plugin 设为 auth_socket 或 caching_sha2_password——前者根本不校验密码，后者老客户端握手会静默失败，报错仍是 Access denied。
对设计或页面进行 WCAG 2.1 AA 无障碍审计。触发关键词：“audit accessibility”、 “check a11y”、 “is this accessible?” 或在审查设计时使用。
- 先用
sudo mysql -u root（不输密码）绕过登录，再查：SELECT User, Host, plugin FROM mysql.user WHERE User = 'root'; - 若
plugin是auth_socket：说明只认系统用户身份，不走密码流程 - 若
plugin是caching_sha2_password：旧版命令行客户端、Navicat、HeidiSQL 等大概率连不上 - 统一改回兼容插件：
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY '你的新密码'; - 注意：
ALTER USER必须显式指定主机，不能只写'root'；BY后的密码需满足当前策略（如 MySQL 8.0 要求至少 8 位，含大小写字母+数字+特殊字符）
验证 socket 文件权限是否阻断本地连接
mysql -u root -p 默认走 Unix socket（不是 TCP），路径通常是 /var/run/mysqld/mysqld.sock 或 /tmp/mysql.sock。如果 socket 文件权限不对（比如属主 root:root、权限 600），普通用户根本打不开，表现就是卡住或直接报 Access denied。
- 查实际路径：
mysql --help | grep "socket" - 查权限：
ls -l /var/run/mysqld/mysqld.sock - 临时调试可改权限：
sudo chmod 644 /var/run/mysqld/mysqld.sock，同时确保目录可读：sudo chmod 755 /var/run/mysqld - 长期方案是让
mysqld以mysql用户身份启动，并在my.cnf中明确配置socket路径和权限
彻底失联时才用 --skip-grant-tables 启动
只有当你完全无法用任何账号登录，且有服务器本地 root 权限时，才考虑跳过权限系统。这不是常规操作，而是最后手段——它会暂时关闭所有权限检查，风险极高。
- 停服务：
sudo systemctl stop mysql（Ubuntu/Debian）或sudo systemctl stop mysqld（CentOS/RHEL） - 带参数启动：
sudo mysqld --skip-grant-tables --skip-networking &（--skip-networking必加，防远程未授权访问） - 此时直接
mysql -u root进库，立即执行：FLUSH PRIVILEGES;，再ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY '新密码'; - 改完必须退出、杀掉
mysqld进程、再正常启动服务
真正容易被忽略的是 host 精确性与 plugin 的耦合关系：哪怕密码正确、账号存在，只要 plugin 不支持当前连接方式，或者你连的是 127.0.0.1 却只建了 'root'@'localhost'，错误就照常发生。排查时别只盯着密码输没输对。
