MySQL 遠程訪問授權全指南：修改 host、GRANT 授權、FLUSH PRIVILEGES、防火牆與 bind-address

現狀診斷：為什麼連不上？

# 1. 檢查用戶 host 字段
SELECT user, host FROM mysql.user WHERE user='root';

# 2. 檢查監聽地址
SHOW VARIABLES LIKE 'bind_address';
# 若為 127.0.0.1 → 僅本地可連，需改為 0.0.0.0 或具體內網 IP

# 3. 檢查防火牆
iptables -L -n | grep 3306
# 或 firewall-cmd --list-ports

方案一：修改 user 表 host 字段（暴力、不推薦生產）

mysql -uroot -p -e "USE mysql; UPDATE user SET host='%' WHERE user='root' AND host='localhost'; FLUSH PRIVILEGES;"
# 風險：root 從任何 IP 可連，極不安全，僅測試環境可用

方案二：GRANT 精準授權（標準、推薦）

必須執行：FLUSH PRIVILEGES; 使權限立即生效（8.0+ 可省略，但保留習慣無害）。

方案三：配置文件綁定地址（配合授權雙重保障）

[mysqld]
# 監聽所有網卡（生產建議綁定具體內網 IP，如 10.0.1.50）
bind-address = 0.0.0.0
# 或僅本地（拒絕遠程）
# bind-address = 127.0.0.1

# 禁用域名解析（加快連接、避免 DNS 劫持）
skip-name-resolve

# SSL 強制（可選）
# require_secure_transport=ON

修改後 systemctl restart mysqld 生效。

防火牆放行（Linux 實操）

# iptables（永久生效需 save/service iptables save）
iptables -A INPUT -p tcp --dport 3306 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 3306 -j DROP

# firewalld（CentOS 7+）
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="3306" accept'
firewall-cmd --reload

# ufw（Ubuntu）
ufw allow from 192.168.1.0/24 to any port 3306

雲環境安全組/白名單

• 阿里云/騰訊雲/AWS：安全組入站規則，來源填寫應用服務器安全組 ID 或具體 CIDR，**禁止 0.0.0.0/0**
• RDS 實例：白名單組管理，同理最小化授權

驗證連通性

# 客戶端測試
mysql -h 192.168.1.50 -u app_user -p -e "SELECT USER(), CURRENT_USER();"

# 抓包確認 SSL
tcpdump -i eth0 -nn port 3306 -w mysql.pcap
# Wireshark 打開檢查 TLS Handshake

常見報錯對照表

安全最佳實踐清單

1. 專用業務賬號：嚴禁應用使用 root 遠程連接
2. 最小權限：僅授予業務所需庫/表/列權限
3. IP 白名單：user 表 host + 防火牆/安全組 雙層限制
4. 強密碼策略：validate_password 插件、≥32 位隨機、定期輪換
5. SSL/TLS 加密：生產環境強制 require_secure_transport=ON
6. 審計日誌：記錄所有遠程連接與 DDL/DML
7. 定期審計：SELECT user, host FROM mysql.user WHERE host != 'localhost'; 清理無用賬號

總結

**授權三部曲**：GRANT 精準賦權 → bind-address 綁定監聽 → 防火牆/安全組 網絡層收口。**永遠不要為了方便把 root 改成 %**，哪怕是測試環境也要養成最小權限習慣。MySQL 8.0+ 推薦使用 CREATE USER ... REQUIRE SSL + GRANT 分離語法，更清晰安全。