必须单独创建复制账号，不可复用业务账号；需授予replication slave（gtid模式下还需replication client）权限，绑定精确ip、禁用密码过期、指定兼容认证插件，并执行flush privileges。
REPLICATION SLAVE权限必须单独建号，不能复用业务账号
复制账号和业务账号职责完全不同：前者只供从库IO线程拉取binlog，后者面向应用查询。混用会放大风险——比如给业务账号加了REPLICATION SLAVE，一旦该账号密码泄露，攻击者可直接伪造从库接入主库，持续窃取全量binlog。
常见错误是直接给root或app_user授REPLICATION SLAVE，这等于把主库的“数据快照通道”暴露给所有业务连接点。正确做法是新建独立账号，名字带语义（如repl、mysql_slave），且全程不参与任何业务SQL执行。
CREATE USER和GRANT必须用完全相同的host字符串
MySQL把'repl'@'192.168.5.20'和'repl'@'%'视为两个账号。如果建号时写CREATE USER 'repl'@'192.168.5.20'，但授权时写GRANT ... TO 'repl'@'%'，权限根本不会生效，从库连上后IO线程卡在Connecting to master状态。
- 查从库真实出口IP：
ip route get 1.1.1.1 | awk '{print $7}' - 若从库走NAT或K8s Service，host填它对外暴露的源IP，不是Pod内网地址
- 内网环境推荐CIDR写法：
'repl'@'10.100.0.0/255.255.0.0'，比%更可控 - 绝对不要用
'repl'@'localhost'——这是主库本机环回，从库根本连不进来
MySQL 8.0+必须显式禁用密码过期，否则报ERROR 3092
MySQL 8.0默认default_password_lifetime = 360，只要复制账号密码“年龄”超360天，REPLICATION SLAVE权限就会被静默禁用，执行CHANGE MASTER TO时直接报ERROR 3092 (HY000)，日志里看不到明显线索。
解决方法只有建号时加PASSWORD EXPIRE NEVER：
CREATE USER 'repl'@'192.168.5.20' IDENTIFIED BY 'p' PASSWORD EXPIRE NEVER;
别碰SET GLOBAL default_password_lifetime = 0——这是全局降级，会削弱所有账号安全水位。
检查现有账号是否已过期：SELECT user, host, password_expired FROM mysql.user WHERE user = 'repl'
GTID模式下必须额外加REPLICATION CLIENT权限
纯binlog file/position模式下，只授REPLICATION SLAVE就能跑通；但一旦启用GTID，START SLAVE会立即失败，报错ERROR 1227 (42000): Access denied，因为内部要执行SELECT @@global.gtid_executed。
所以GTID模式必须同时授两个权限：
GRANT REPLICATION SLAVE, REPLICATION CLIENT ON *.* TO 'repl'@'192.168.5.20';
这个REPLICATION CLIENT也服务于监控工具（如mysqld_exporter），缺了会导致从库指标全为空。建议默认加上，避免后续切换GTID时半夜告警。
最后务必执行FLUSH PRIVILEGES——权限表缓存在内存，不刷新就不会加载进运行时上下文，哪怕你刚执行完GRANT也一样。
最容易被忽略的是认证插件兼容性：MySQL 8.0默认用caching_sha2_password，而老版本驱动或监控脚本可能只支持mysql_native_password。建号时若没指定IDENTIFIED WITH mysql_native_password，连都连不上，更别说查权限了。
