如何在MySQL中限制特定用户只能从指定网段登录-mysql教程-PHP中文网

mysql用户host字段需填具体网段通配符（如'192.168.5.%'）才生效，不能用'%'或'localhost'；必须create user与grant中host完全一致，并执行flush privileges。

如何在mysql中限制特定用户只能从指定网段登录

MySQL用户host字段到底填什么才生效

MySQL的用户权限是靠 user@host 这个组合唯一标识的，不是只看用户名。所谓“限制从指定网段登录”，本质就是把 host 部分设为对应网段的通配形式，而不是用 '%' 或 'localhost' 这类宽泛值。

常见错误是执行了 CREATE USER 'foo'@'%' IDENTIFIED BY 'pwd';，结果发现任何IP都能连——因为 '%' 匹配所有主机（包括远程），且不区分网段。

'192.168.1.%' 匹配 192.168.1.0/24 网段（注意：点号是字面量，不能省略）
'10.0.0.0/255.255.255.0' 是无效写法——MySQL原生不支持CIDR语法
'172.16.0.0/12' 同样不被识别，必须拆成多个 '172.16.%'、'172.17.%'…或用更粗粒度的掩码
IPv6需用方括号，如 'user'@'2001:db8::/32' 仍不支持，只能写 'user'@'2001:db8::%'（匹配前缀）

创建网段受限用户的具体步骤

不能只靠 CREATE USER，必须配合 GRANT 显式授权，且 host 必须完全一致。MySQL 8.0+ 还要留意默认认证插件变化。

以限制用户 app_rw 只能从 192.168.5.0/24 登录为例：

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

CREATE USER 'app_rw'@'192.168.5.%' IDENTIFIED WITH mysql_native_password BY 'strong-pass-2024';
GRANT SELECT, INSERT, UPDATE ON mydb.* TO 'app_rw'@'192.168.5.%';
FLUSH PRIVILEGES;

如果用的是 MySQL 8.0+ 且服务端配置了 default_authentication_plugin = caching_sha2_password，客户端不支持该插件时会连不上，此时显式指定 IDENTIFIED WITH mysql_native_password 更稳妥
GRANT 的 ON 子句可以是库级或表级，但 TO 后的用户host必须和 CREATE USER 中的一致，否则权限不生效
执行完务必运行 FLUSH PRIVILEGES;，尤其在直接操作 mysql.user 表后

验证是否真被限制住了

别只信自己写的SQL，要用真实连接测试。最容易忽略的是：MySQL优先匹配最具体的host规则，且大小写不敏感但字符必须精确。

从允许网段外的机器执行 mysql -u app_rw -p -h your-mysql-host，应报错 Access denied for user 'app_rw'@'192.168.8.23'（末尾IP是实际来源）
检查当前生效的用户记录：SELECT User, Host FROM mysql.user WHERE User = 'app_rw';，确认只有 '192.168.5.%' 这一条（避免残留 '%' 记录）
注意DNS反解影响：如果MySQL配置了 skip_name_resolve = OFF（默认），它会尝试把客户端IP反向解析成域名，再匹配 Host 字段——这时 '192.168.5.%' 可能不命中，建议始终开启 skip_name_resolve = ON