必须设为具体内网IP（如192.168.10.5），不能用0.0.0.0或127.0.0.1；需同步配置用户host权限、防火墙放行内网段、启用skip-name-resolve，四者缺一不可。
bind-address 必须设为具体内网 IP，不能是 0.0.0.0 或 127.0.0.1
MySQL 默认 bind-address = 127.0.0.1，只接受本机 socket 或回环连接；设成 0.0.0.0 则监听所有网卡，包括可能暴露在外网的接口——这和“仅监听特定私网网卡”完全相悖。真正生效的写法是填服务器该网卡的实际 IPv4 地址，例如 bind-address = 192.168.10.5。
常见错误现象：ss -tlnp | grep :3306 显示 *:3306 或 0.0.0.0:3306，说明配置未生效或被覆盖。
- 配置文件路径因发行版而异：Ubuntu 通常在
/etc/mysql/mysql.conf.d/mysqld.cnf，CentOS/RHEL 多为/etc/my.cnf - 必须确保
skip-networking被注释或删除，否则 MySQL 直接禁用 TCP - 值不能加引号或空格，
bind-address = "192.168.10.5"会导致启动失败，日志报Invalid argument - 改完必须重启服务：
sudo systemctl restart mysql（或mysqld）
用户 host 字段必须与客户端源 IP 精确匹配
即使 bind-address 正确指向内网 IP，如果用户权限表里 host 是 '%'、'localhost' 或不匹配的通配符，连接仍可能绕过限制。MySQL 不按“网卡”判断，只认 TCP 连接发起方的源 IP，并严格比对 user@host 中的 host 字段。
例如，客户端从 192.168.10.25 连入，就必须创建 'app'@'192.168.10.25' 用户；若允许多个设备，可用 'app'@'192.168.10.%'（注意 % 不匹配点号，192.168.% ≠ 192.168.0.0/16）。
- 执行
SELECT Host, User FROM mysql.user WHERE User = 'app';确认输出的Host列是目标 IP 或子网格式，不是% - MySQL 8.0+ 支持 CIDR 写法（如
'app'@'192.168.10.0/24'），更精确，但需确认版本 - 避免
RENAME USER或直接UPDATE mysql.user，容易漏掉权限缓存；推荐DROP USER后重建
防火墙规则必须放行该网卡对应 IP 的 3306 端口
操作系统防火墙（ufw/firewalld/iptables）在内核层拦截连接，它不关心 MySQL 监听哪个 IP，只看目标端口和源地址。即使 MySQL 只绑定了 192.168.10.5，若防火墙默认 DROP 所有入向流量，连接仍会超时。
MySQL 数据库管理技能，能够通过自然语言查询和管理数据库，支持 SELECT/INSERT/UPDATE/DELETE、表管理、备份恢复等操作。当用户提及 MySQL、数据库查询、建表或数据备份时使用此技能。
关键点是规则必须显式指定源 IP 段或具体 IP，且目标端口为 3306，不能只开端口不控来源。
- Ubuntu ufw：
sudo ufw allow from 192.168.10.0/24 to any port 3306 - CentOS firewalld：
sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.10.0/24" port port="3306" protocol="tcp" accept' --permanent，再firewall-cmd --reload - 云服务器（阿里云/腾讯云）：安全组入方向规则，源 IP 填
192.168.10.0/24，协议端口填TCP:3306 - 切勿用
ufw allow 3306或开放0.0.0.0/0——前面所有限制瞬间失效
skip_name_resolve = ON 是防止 DNS 反查失败的关键
MySQL 默认开启 DNS 反向解析（skip_name_resolve = OFF），会对每个客户端 IP 做 PTR 查询。局域网通常无对应 DNS 配置，导致解析超时或返回不可信主机名，进而无法匹配 'user'@'192.168.10.25' 这类精确规则，连接被拒绝或延迟极高。
这个问题不会报明显错误，但 SHOW PROCESSLIST 可能看到 host 列显示为域名而非 IP，或连接日志出现 Host 'x.x.x.x' is not allowed to connect 却明明已授权。
- 在
[mysqld]段下添加skip_name_resolve = ON - 添加后必须重启 MySQL，否则不生效
- 启用后，
user@host中的host将只按 IP 匹配，不再尝试 DNS，性能也更好
实际部署时最容易被忽略的是三者协同：bind-address 错了，连不上；用户 host 写宽了，权限失控；防火墙没锁源，等于裸奔；skip_name_resolve 不关，连接时灵时不灵。四者缺一不可，且任意一项变更都需验证对应层是否真实生效。
