唯一有效方式是create user 'u'@'localhost'；mysql硬编码将host='localhost'强制走unix socket，禁用tcp；'u'@'127.0.0.1'或'%'无法锁死socket登录，且mysql 8.0+禁止update host字段，须drop后重建；验证用\s看connection是否为“localhost via unix socket”；auth_socket插件仅适用于unix socket免密登录。
CREATE USER 'u'@'localhost' 是唯一有效方式
MySQL 对 'u'@'localhost' 有硬编码特殊处理：只要 host 字段是字面量 localhost，客户端不带 -h 参数连接时，就会强制走 Unix socket（如 /var/run/mysqld/mysqld.sock），完全跳过 TCP/IP 栈。这不是配置开关，是服务端内建逻辑。
常见错误是用 'u'@'127.0.0.1' 或 'u'@'%' —— 前者走 TCP 回环，后者更开放，两者都**无法锁死 socket 登录**。
-
'u'@'127.0.0.1'仍受防火墙、bind-address、网络层干扰，且某些 GUI 工具（如旧版 DBeaver）会绕过你本意 - 已有账号不能靠
UPDATE mysql.user SET host = 'localhost'修改 —— MySQL 8.0+ 禁止更新Host字段，执行后账号会永久失效（Access denied for user 'u'@'old_host'） - 必须重建：
DROP USER 'u'@'old_host'; CREATE USER 'u'@'localhost' IDENTIFIED BY 'pwd'; GRANT ... TO 'u'@'localhost'; FLUSH PRIVILEGES;
验证是否真走 UNIX Socket 而非 TCP
登录成功后，在 MySQL 客户端里执行 \s 或 STATUS，看 Connection: 行输出：
-
Localhost via UNIX socket→ 正确，走的是 socket -
127.0.0.1 via TCP/IP→ 错误，说明连的是'u'@'127.0.0.1'，或客户端加了-h 127.0.0.1
命令行测试务必省略 -h 参数：mysql -u u -p 默认触发 localhost 语义；一旦加 -h 127.0.0.1，就强制走 TCP，绕过你设的权限规则。
某些 Windows GUI 工具（如老版 Navicat）会把 localhost 自动解析成 127.0.0.1，此时需手动指定 socket 路径：--socket=/var/run/mysqld/mysqld.sock，或改用 MySQL Workbench 并在连接类型中选 “Local Socket/Pipe”。
auth_socket 插件适合 root 或同名系统用户免密
若想免密码（且不存密文），auth_socket 是 Linux/macOS 下最干净的方案：它依赖 SO_PEERCRED 获取发起进程的 OS 用户 UID，只认操作系统身份，不碰密码字段。
- 确认 root 是否已启用：
SELECT user, host, plugin FROM mysql.user WHERE user = 'root' AND host = 'localhost';，如果不是auth_socket，执行ALTER USER 'root'@'localhost' IDENTIFIED WITH auth_socket; - 普通用户（如系统用户
dev）要免密，也得建同名 MySQL 账号：CREATE USER 'dev'@'localhost' IDENTIFIED WITH auth_socket;，再授权 -
auth_socket仅适用于 Unix socket 连接，对 Windows 无效；也不适用于远程或 TCP 场景
别指望 bind-address = 127.0.0.1 锁死 socket
bind-address = 127.0.0.1 实际是强制走 TCP 回环（127.0.0.1:3306），**不是 socket 连接**，且仍开放本机任意进程通过 TCP 连接——只是外部 IP 被内核拒绝而已。
真正禁用 TCP、只留 socket 的做法是：
- 注释或删除配置文件中的
bind-address行 - 显式设置
skip-networking = ON - 重启 MySQL 后，
netstat -tlnp | grep :3306应无输出；mysql -h 127.0.0.1 -u root -p应报Can't connect to MySQL server
但注意：这会让所有依赖 TCP 的客户端（包括部分脚本、ORM 配置）直接失败，除非它们明确支持 --socket=... 参数。多数开发场景只需 'u'@'localhost' + 正确客户端调用，不必关 TCP。
