必须在MySQL服务端用CREATE USER 'user'@'192.168.1.100'创建指定IP用户，再GRANT授权并执行FLUSH PRIVILEGES生效；phpMyAdmin仅是界面，不参与IP控制。
只给特定IP授权，别用%
用'user'@'%'等于把门敞开了——任何能连上你3306端口的IP都能试密码。真要远程访问，必须限定来源IP：'dev_user'@'192.168.1.100' 或网段 'dev_user'@'192.168.1.%'。MySQL 8.0+ 对 @'%' 的限制更严，部分云厂商甚至默认拦截该写法。
- 先确认对方设备实际出口IP（不是局域网IP），可用
curl ifconfig.me查 - 若对方是动态IP，宁可配SSH隧道，也别妥协用
% - MySQL 8.0 创建用户后必须显式
GRANT，不能靠INSERT INTO user直接改表
权限范围必须收缩到最小
远程用户不该碰 mysql 系统库、不该有 FILE 或 SHUTDOWN 权限，更不该用 GRANT ALL PRIVILEGES ON *.*。哪怕只是调试，也只给目标库的 SELECT, INSERT, UPDATE。
- 正确示例：
GRANT SELECT, INSERT ON app_log.* TO 'logger'@'192.168.1.100' - 禁止操作：
GRANT ALL ON *.* TO ...、GRANT PROCESS ON *.* TO ... - 执行完务必
FLUSH PRIVILEGES，否则权限不生效
MySQL 8.0+ 认证插件不兼容时怎么办
很多客户端（尤其是老版 Navicat、某些 Python 驱动）连不上 MySQL 8.0 默认的 caching_sha2_password 插件，报错类似 Client does not support authentication protocol。
安装、修复、更新或打包一个基于 Python 和 PyMySQL 实现的 Windows `mysql` 命令。适用于用户希望在 PowerShell/CMD 中输入 `mysql` 时重定向到 Python 实现、需要交互式输入 MySQL 连接信息、需要同步到当前用户本地 bin 目录，或需要将该能力封装成可公开复用的 Codex skill。
- 临时解决（仅限可信内网）：
ALTER USER 'dev_user'@'192.168.1.100' IDENTIFIED WITH mysql_native_password BY 'StrongP@ss123' - 长期方案：升级客户端驱动，或在连接字符串里显式指定
auth_plugin=mysql_native_password - 别用
SET PASSWORD，MySQL 8.0 已弃用该语法
bind-address 和防火墙常被漏掉
即使SQL授权全对，bind-address = 127.0.0.1（默认值）会让MySQL直接拒绝所有非本地连接；而防火墙没开3306 TCP端口，连接会在三次握手阶段就超时。
- Linux 检查配置：
grep bind-address /etc/mysql/my.cnf，应为0.0.0.0或服务器真实IP - Ubuntu 开端口：
sudo ufw allow from 192.168.1.100 to any port 3306 proto tcp - 云服务器（阿里云/腾讯云）必须额外检查安全组规则，它比系统防火墙优先级更高
远程授权最易忽略的其实是「网络路径上的每一层」：MySQL监听地址、操作系统防火墙、云平台安全组、中间路由器NAT规则——只要其中一层没通，ERROR 2003 (HY000): Can't connect to MySQL server 就会原地报错，但你根本看不出卡在哪一层。
