mysql 8.0远程连接需同步解除四层封锁：①bind-address设为0.0.0.0并重启；②用create user指定mysql_native_password插件创建用户并授权；③开放防火墙及云安全组3306端口；④客户端显式指定认证插件。
bind-address 默认是 127.0.0.1，容器内 localhost ≠ 宿主机
MySQL 8.0 镜像默认配置 bind-address = 127.0.0.1，只监听容器内部回环地址。即使你用 -p 3306:3306 映射了端口，外部请求进到容器后仍被拒绝，因为 mysqld 根本不接受非本地 IP 的连接。
解决方法不是改宿主机配置，而是让容器内的 mysqld 监听所有接口：
- 启动时加参数：
--bind-address=0.0.0.0 - 或挂载自定义配置文件到
/etc/mysql/conf.d/my.cnf，内容含bind-address = 0.0.0.0 - 注意：不能只写
bind-address = *，MySQL 8.0 不识别该语法
caching_sha2_password 认证插件导致客户端报错 1251 或 2059
Docker 官方 mysql:8.0 镜像默认启用 caching_sha2_password，但 Navicat 旧版、某些 JDBC 驱动（如 mysql-connector-java pymysql）默认不支持它，直连会触发 ERROR 1251 或 ERROR 2059。
临时解法（开发环境适用）是降级认证方式：
- 进容器执行：
docker exec -it mysql8 mysql -u root -p - 运行 SQL：
ALTER USER 'root'@'%' IDENTIFIED WITH mysql_native_password BY 'your_password'; - 别忘了：
FLUSH PRIVILEGES; - 关键点：
'root'@'%'而非'root'@'localhost'，否则远程仍无效
用户 Host 权限是 localhost，不是 %
即使密码和认证插件都对了，SELECT User, Host FROM mysql.user; 查出来 root 对应的 Host 是 localhost，那它就只允许从容器内部（或 Unix socket）登录，远程 IP 连接会被直接拒掉，报 ERROR 1045。
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
必须显式授权通配 host：
- 创建新用户：
CREATE USER 'root'@'%' IDENTIFIED BY 'strong_password'; - 或更新现有用户：
UPDATE mysql.user SET Host='%' WHERE User='root' AND Host='localhost'; - 然后赋权：
GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' WITH GRANT OPTION; - 最后
FLUSH PRIVILEGES;生效
数据卷或配置文件残留引发“双实例”冲突
如果你在服务器上既装过原生 MySQL，又跑过 Docker MySQL，并且两者共用了同一个数据目录（比如都映射到 /var/lib/mysql 或同名 volume），可能出现“两个 mysqld 实际在争抢同一份数据文件”的情况。此时你改的是容器里的用户权限，但客户端连上的却是宿主机原生服务（或反过来），导致所有配置看似正确却始终失败。
排查建议：
- 查进程：
ps aux | grep mysql，确认只有 1 个 mysqld 在跑 - 查端口占用：
sudo lsof -i :3306，看监听的是哪个 PID - 删掉可疑 volume：
docker volume rm mysql_data（前提是数据已备份） - 启动容器时务必用新 volume 名，避免复用历史数据卷
远程连接问题从来不是单点故障，而是网络层、认证层、权限层、实例层四重叠加的结果。每层都得单独验证，漏掉任意一层，都会让你卡在“明明改了却没用”的死循环里。
