复制账号必须仅授予REPLICATION SLAVE权限，不可混用SUPER、SELECT等其他权限；host须严格匹配主库日志中记录的实际连接源IP；MySQL 8.0+需禁用密码过期策略（PASSWORD EXPIRE NEVER）并注意caching_sha2_password兼容性。
复制账号不能有SUPER或SELECT权限
MySQL从库IO线程连接主库时，只认REPLICATION SLAVE权限——多了或少了都会失败。常见错误是顺手给账号加了SUPER、SELECT甚至ALL PRIVILEGES，结果START SLAVE报错：ERROR 1236 (HY000): Could not open log file 或 Access denied; you need (at least one of) the SUPER or REPLICATION SLAVE privilege(s)。这不是权限“不够”，而是权限“太杂”触发了校验逻辑。
-
REPLICATION SLAVE必须单独授予，不混任何其他权限 - 别执行
GRANT ALL PRIVILEGES ON *.* TO 'repl'@'...'，哪怕只是临时测试 - 如果误授了多余权限，用
REVOKE清理：REVOKE SUPER, SELECT ON *.* FROM 'repl'@'192.168.5.20'; FLUSH PRIVILEGES;
host限定必须匹配从库真实来源IP
账号的host部分不是写主库自己能连到哪，而是写“从库发起TCP连接时，主库看到的源地址”。这个地址常被NAT、代理或防火墙修改，和你配置文件里写的从库IP可能不一致。日志里出现Access denied for user 'repl'@'192.168.131.1'就说明主库收到了来自192.168.131.1的连接，但你建的账号却是'repl'@'192.168.5.20'，自然拒绝。
- 先查主库错误日志：
tail -f /var/log/mysqld.log | grep 'Access denied'，看实际被拒的user@host - 用
netstat -tnp | grep :3306在主库上确认从库连接进来的源IP - 建号时严格按日志里出现的host写，例如：
CREATE USER 'repl'@'192.168.131.1' IDENTIFIED BY 'p'; GRANT REPLICATION SLAVE ON *.* TO 'repl'@'192.168.131.1'; - 生产环境禁用
'repl'@'%'，MySQL 8.0+下它和caching_sha2_password认证插件冲突，直接导致ERROR 3092
MySQL 8.0+必须处理密码策略限制
MySQL 8.0默认开启密码过期策略（default_password_lifetime = 360），而复制账号一旦密码“超龄”，REPLICATION SLAVE权限会被静默禁用——SHOW GRANTS还显示着，但START SLAVE就是连不上，错误仍是Access denied。
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
- 创建账号时显式禁用过期：
CREATE USER 'repl'@'192.168.5.20' IDENTIFIED BY 'p' PASSWORD EXPIRE NEVER; - 或临时放宽全局策略（仅调试）：
SET GLOBAL default_password_lifetime = 0;，但上线前必须改回 - 检查当前策略：
SELECT @@default_password_lifetime; - 验证账号密码状态：
SELECT user, host, password_last_changed, account_locked FROM mysql.user WHERE user = 'repl';
不要在从库上给应用账号加REPLICATION CLIENT
REPLICATION CLIENT权限只用于查询复制状态（如SHOW SLAVE STATUS、SELECT @@global.gtid_executed），和数据同步本身无关。把它给了业务应用账号，等于让应用代码能调用STOP SLAVE、RESET SLAVE等危险命令。
- 监控脚本（如
mysqld_exporter）才需要这个权限，且应单独建号、限定host - 应用连从库读数据，只需
SELECT；连主库写数据，按业务最小集授权（如INSERT, UPDATE, DELETEon specific DB） - 误授后清理：
REVOKE REPLICATION CLIENT ON *.* FROM 'app_user'@'10.0.1.%';
真正难的不是命令怎么写，而是搞清“主库看到的连接来源”和“你心里以为的从库IP”之间差了几层网络设备。每次CHANGE MASTER TO失败，先盯住错误日志里的user@host，比反复改配置有用得多。
