Linux下MySQL安装需root权限以写入/usr/local/mysql、绑定3306端口及注册服务；必须创建专用系统用户mysql（UID 27，/bin/false，home为/var/lib/mysql），my.cnf中user=mysql用于setuid降权，初始化后需验证datadir等路径属主及日志文件写权限。
MySQL安装时需要哪些系统级权限
在Linux上以root权限运行安装包或编译源码是必须的，否则无法向/usr/local/mysql写入二进制文件、无法绑定3306端口（低于1024的端口需CAP_NET_BIND_SERVICE或root）、也无法创建系统服务单元文件。非root用户即使指定了--basedir到家目录，后续启动时仍可能因mysqld_safe尝试调用setuid失败而退出。
常见错误现象：Can't start server : Bind on TCP/IP port: Address already in use（其实是没权限bind）、Failed to set up SSL（证书路径不可写）、Could not open required defaults file（配置文件被拒绝读取）。
- 安装阶段：root或sudo权限（用于解压、复制、chown、systemctl enable）
- 数据目录初始化：
mysqld --initialize必须由mysql用户执行，且该用户需对datadir有读写权限 - 服务注册：写
/etc/systemd/system/mysqld.service需root；若改用~/.config/systemd/user/则可免root，但只能当前用户启动，且不监听公网
mysql系统用户必须满足哪些条件
官方推荐创建专用系统用户mysql（UID 27），而非用root或普通登录用户运行mysqld进程。这个用户不能登录、不能执行shell、主目录通常设为/var/lib/mysql或/nonexistent，关键在于其home和shell字段要符合安全要求。
检查方式：getent passwd mysql应返回类似mysql:x:27:27:MySQL Server:/var/lib/mysql:/bin/false；若显示/bin/bash或home是/root，说明配置不合规。
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
- 禁止shell登录：
/bin/false或/usr/sbin/nologin，避免被提权后直接获得交互式会话 - home目录必须存在且属主为mysql：
chown mysql:mysql /var/lib/mysql，否则mysqld启动时报Cannot change to run as user 'mysql' - 不能有密码（
passwd -l mysql锁定），也不能出现在/etc/shadow中对应行有有效密码哈希
my.cnf里user选项和系统用户的关系
my.cnf中的[mysqld]段落下user = mysql不是指数据库用户，而是告诉mysqld主进程在初始化完成后，主动调用setuid()切换到指定系统用户运行。它只在Unix-like系统生效，Windows忽略。
如果配置了user = root，mysqld会先以root启动，再降权——但若降权失败（比如目标用户不存在、home不可访问），进程将直接退出并打印Aborting。日志里常见错误：mysqld: Can't change dir to '/var/lib/mysql/' (Errcode: 13)，本质就是降权后权限不足。
- 该
user值必须与getent passwd查到的系统用户一致，大小写敏感 - 不要和数据库的
CREATE USER 'mysql'@'localhost'混淆——两者完全无关 - 若用Docker运行，容器内仍需提前
adduser -r -u 999 mysql，否则user配置无效
初始化后如何验证用户权限是否闭环
初始化完成不代表权限配置就到位。需确认三个层面是否连通：系统用户能否访问数据目录 → mysqld能否以该用户身份启动 → 启动后能否加载插件/创建socket/写错误日志。
最简验证命令：sudo -u mysql /usr/local/mysql/bin/mysqld --defaults-file=/etc/my.cnf --validate-config。成功返回0表示配置语法+路径权限无硬性冲突；若报错Can't create/write to file '/var/log/mysqld.log'，说明日志路径没给mysql用户写权限。
- 检查
datadir、pid-file、socket、log-error四个路径的属主和权限 - 用
sudo -u mysql ls -ld /var/lib/mysql确认可进入；用sudo -u mysql touch /var/lib/mysql/test确认可写 - systemd服务启动失败时，优先看
journalctl -u mysqld -n 50 --no-pager，而不是只盯error.log
/var/log/mysqld.log的属主从root:root改成mysql:mysql——哪怕其他所有路径都对了，这里一错，mysqld就静默退出。 
