MySQL报错“Access denied for user 'xxx'@'yyy'”本质是身份三元组（user@host+plugin）不匹配，需严格比对mysql.user表中User、Host、plugin字段是否字面完全一致，并检查authentication_string、监听配置及网络通路。
这不是密码错了，而是 MySQL 根本没走到校验密码那步——它明确拒绝了 'user'@'host' 这个组合的连接请求。错误信息里写的那个完整字符串，就是你必须对准的目标。
看报错末尾的 using password: YES 还是 using password: NO
这是最关键的起点：
-
using password: NO：MySQL 没收到密码，常见于命令行漏-p、Navicat 里密码字段为空、或客户端配置禁用了密码提交 -
using password: YES：密码传过去了，但被拒绝——90% 是mysql.user表里压根没有完全匹配的'user'@'host'记录，或plugin字段不兼容
查 mysql.user 表确认 'user'@'host' 是否真实存在
登录 MySQL（用有权限账号，如 root）后执行：
SELECT User, Host, plugin, authentication_string FROM mysql.user WHERE User = 'xxx';
重点比对三件事：
MySQL8 CRM Schema Design Expert
下载
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
- 错误信息里的
'xxx'@'yyy'是否在结果中**字面完全一致**——'localhost'和'127.0.0.1'是两个不同 host，不能互换；'app'@'%'不匹配 IPv6 的::1 -
authentication_string字段是否为空或为NULL（尤其using password: NO时），说明密码未设置或被清空 -
plugin字段是否为auth_socket（Ubuntu/Debian 默认给'root'@'localhost'）或caching_sha2_password（MySQL 8.0+ 默认），老版客户端可能不支持
改认证插件必须用 ALTER USER，不能 UPDATE mysql.user
UPDATE 直接改表在 MySQL 8.0+ 已失效，且不触发插件重载：
- 切回兼容插件：
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY '新密码'; - 远程用户常用：
ALTER USER 'app'@'%' IDENTIFIED WITH mysql_native_password BY 'pwd'; - 改完立即生效，无需
FLUSH PRIVILEGES；但如果是直接UPDATE或新建用户后赋权，仍需该命令
监听地址、防火墙、安全组卡住也会报 Access denied
哪怕用户、密码、权限全对，只要下面任一条件成立，最终仍报 Access denied（不是 Connection refused）：
-
bind_address = 127.0.0.1未改 → 远程 TCP 请求被内核丢弃，MySQL 压根不参与鉴权 -
require_secure_transport = ON启用时，非 SSL 连接会被静默拒绝 - 云服务器安全组未放行 3306 入方向 → 请求到不了
mysqld进程 - 验证监听状态：
ss -tlnp | grep :3306，输出中必须含*:3306或具体外网 IP，不能只有127.0.0.1:3306
真正容易被忽略的是 Host 字符串的**字面精确匹配**——MySQL 不做通配展开，也不自动归一化 IP 或域名。别靠猜，查表、试连、看日志（/var/log/mysql/error.log 或 journalctl -u mysql）。
