必须修改bind-address为0.0.0.0（或注释），否则mysql仅监听127.0.0.1，远程无法连接；需新建非root用户并指定mysql_native_password插件，授权最小权限；ufw与云安全组须双重放行3306端口且限制源ip；还需调优innodb_buffer_pool_size、max_connections等关键参数并关闭thp。
云服务器上搭 MySQL 生产环境，不是装完 mysql-server 就算完事——漏掉任意一个环节，轻则连不上，重则数据损坏、权限失控、性能崩盘。
bind-address 必须改，否则远程根本连不上
MySQL 默认只监听 127.0.0.1，哪怕你开了安全组、放行了 ufw、用户也授权了，客户端依然报 Connection refused 或超时。这不是网络问题，是 MySQL 进程压根不收外网包。
- 编辑配置文件：
sudo nano /etc/mysql/mysql.conf.d/mysqld.cnf（Ubuntu）或/etc/my.cnf（CentOS） - 找到
bind-address = 127.0.0.1，改成bind-address = 0.0.0.0，或直接注释掉整行 - 重启服务：
sudo systemctl restart mysql - 验证监听：
sudo ss -tlnp | grep :3306，输出必须含*:3306，不能是127.0.0.1:3306
别用 root 开放公网，新建用户并限制 plugin
MySQL 8.0 默认用 caching_sha2_password 认证插件，但老版本客户端（如 Navicat 12 以下、PHP 7.4 的 mysqli 扩展）不支持，连上去直接报 Client does not support authentication protocol。
- 新建用户，不要动
root：CREATE USER 'appuser'@'%' IDENTIFIED WITH mysql_native_password BY 'StrongPass123!'; - 最小权限授权：
GRANT SELECT,INSERT,UPDATE,DELETE ON mydb.* TO 'appuser'@'%'; - 刷新权限：
FLUSH PRIVILEGES; - 验证插件：
SELECT host,user,plugin FROM mysql.user WHERE user='appuser';，确保 plugin 是mysql_native_password
ufw 和云平台安全组必须双检查
云平台安全组只是第一道过滤，Ubuntu 自带的 ufw 可能默认拦截 3306，尤其重装系统后常被忽略。
- 查状态：
sudo ufw status verbose，若显示active但没3306规则，就说明被拦了 - 放行端口：
sudo ufw allow 3306 - 安全组规则必须明确：协议选
TCP，端口填3306，源 IP 尽量缩小范围（如只允许应用服务器内网段192.168.10.0/24） - 别开
0.0.0.0/0——这是生产环境最常见也最危险的配置错误
my.cnf 里几个关键参数不能省
默认配置撑不住真实业务。比如没调 innodb_buffer_pool_size，缓存太小导致大量磁盘读；没设 max_connections，高并发时直接拒绝新连接。
-
innodb_buffer_pool_size：建议设为总内存的 50%–75%，例如 8GB 内存机器可设5G -
max_connections：按预估并发连接数设，至少200，别用默认151 -
wait_timeout和interactive_timeout：建议统一设为300（5 分钟），避免空闲连接长期占资源 - 改完重启：
sudo systemctl restart mysql，再用mysql -u root -p -e "SHOW VARIABLES LIKE 'innodb_buffer_pool_size';"确认生效
生产环境最易被跳过的其实是系统级优化：透明大页（THP）没关、文件描述符限制太低、swap 使用不当——这些不会立刻出错，但会在高负载时突然抖动甚至夯住。部署完务必跑一遍 mysqltuner.pl 或手动检查 sysctl 和 limits.conf。
