MySQL 用戶連線主機配置全解析：從 localhost 到通配符與 CIDR

用戶帳號格式核心：'user_name@host_spec'

MySQL 用戶身份由「用戶名 + 來源主機」雙重標識，host_spec 支援多種匹配模式：

主機指定符完整語法

授權實戰範例

-- 僅允許本機 root 連線（最安全）
GRANT ALL ON mydb.* TO 'root'@'localhost' IDENTIFIED BY 'strong_pwd';

-- 允許內網 192.168.1.0/24 任意主機
GRANT SELECT, INSERT ON mydb.* TO 'app_user'@'192.168.1.0/24' IDENTIFIED BY 'pwd';

-- 開發人員從任意地點連線（僅開發庫，生產嚴禁）
GRANT ALL ON dev_db.* TO 'dev'@'%' IDENTIFIED BY 'dev_pwd';

-- 特定域名集群
GRANT REPLICATION SLAVE ON *.* TO 'repl'@'%.internal.corp' IDENTIFIED BY 'repl_pwd';

安全最佳實踐

1. 拒絕 root@%：生產環境 root 僅允許 localhost 或跳板機 IP。
2. 業務帳號綁定應用伺服器 IP：使用 CIDR 精確到 /24 或 /28。
3. 定期清理無用帳號：DROP USER 'old_user'@'%';
4. 啟用 SSL：REQUIRE SSL 強制加密傳輸。
5. 密碼策略：validate_password 元件強制複雜度與輪換。

排查連線被拒步驟

1. 確認用戶存在：SELECT User, Host FROM mysql.user;
2. 檢查防火牆/安全組 3306 端口。
3. 驗證 bind-address = 0.0.0.0（或具體 IP）。
4. 查看錯誤日誌：Access denied for user 'x'@'y' 中的 y 為實際來源 IP/主機名。
5. DNS 反解問題：skip-name-resolve 可禁用主機名解析，純用 IP 匹配。