mysql 8.0在堡垒机环境下不可用--skip-grant-tables，因其完全绕过权限系统，破坏审计追溯性；应改用auth_socket插件或切换为mysql_native_password认证插件，并配合os用户映射与网络策略实现安全免密或兼容登录。
不能直接搞免密码登录。MySQL 8.0 默认禁用空密码，且堡垒机场景下绕过认证会破坏审计链条——你看到的“免密”，其实是用操作系统级凭证或密钥代理实现的可信链路，不是数据库层面删掉密码。
为什么 mysqld --skip-grant-tables 在堡垒机环境里根本不可用
堡垒机要求所有操作可追溯、可审计、可授权。启用 --skip-grant-tables 会让 MySQL 完全跳过权限系统，导致：
- 所有用户（包括通过堡垒机连接的账号）都能以
root身份执行任意 SQL，审计日志里只剩“user: root”，无法区分具体操作人 - 堡垒机的命令过滤、会话录像、SQL拦截策略全部失效
- MySQL 启动时若检测到
--skip-grant-tables，在企业加固镜像中可能被 systemd 或 SELinux 主动拒绝启动
真正可行的“免密”路径：用 SSH 密钥 + MySQL socket 认证
Windows 堡垒机（如 JumpServer、皇舟）和 Linux 下的 MySQL 服务端配合时，推荐走本地 socket + OS 用户映射方案，不走 TCP 密码认证：
- MySQL 配置中启用
plugin=auth_socket插件（非默认，需手动安装）：INSTALL PLUGIN auth_socket SONAME 'auth_socket.so';
- 创建仅限本地 socket 登录的账号：
CREATE USER 'devops'@'localhost' IDENTIFIED WITH auth_socket;
- 堡垒机连接时，必须使用
-S /var/run/mysqld/mysqld.sock（Linux）或-S \.pipeMySQL（Windows named pipe），不能用-h 127.0.0.1 - 堡垒机后端需以该 OS 用户（如
devops）身份运行 MySQL 客户端进程，才能触发 socket 级身份继承
Windows 堡垒机连内网 MySQL 8.0 必须改 authentication_string 插件
即使你用堡垒机配了密码登录，MySQL 8.0 默认的 caching_sha2_password 插件在 Windows 堡垒机常见客户端（如 Navicat、旧版 ODBC）上大概率握手失败，报错 Authentication plugin 'caching_sha2_password' cannot be loaded：
- 登录 MySQL 后立即执行：
ALTER USER 'db_admin'@'%' IDENTIFIED WITH mysql_native_password BY 'StrongPass!2026';
- 确认生效：
SELECT user, host, plugin FROM mysql.user WHERE user = 'db_admin';
输出必须是mysql_native_password - 重启 MySQL 服务（
net stop MySQL80 && net start MySQL80），否则部分客户端仍会尝试用旧插件重连 - 堡垒机资产配置里，“认证方式”选 password，不是 key；密码字段填上面设的值，不是留空
最后提醒一个容易被忽略的点
内网堡垒机连 MySQL，my.cnf 里的 bind_address 不能写 127.0.0.1 ——这会让 MySQL 只监听 loopback 接口，堡垒机从另一 IP 连入时直接被拒。必须显式设为 0.0.0.0 或具体管理网段（如 192.168.10.0/24），再靠堡垒机的网络 ACL 和 MySQL 的 GRANT ... ON *.* TO 'u'@'192.168.10.%' 双重收敛访问面。
