MySQL数据目录属主和属组必须均为mysql，权限为700；socket和pid文件需正确设置属主、权限及SELinux/AppArmor上下文，否则服务启动或连接失败。
MySQL数据目录的属主和属组必须是mysql用户
MySQL服务进程默认以 mysql 用户身份运行，如果数据目录（如 /var/lib/mysql）属主不是 mysql，mysqld 启动时会拒绝访问，报错类似 Can't change dir to '/var/lib/mysql/' (Errcode: 13 - Permission denied)。
常见错误是手动用 root 解压或复制数据库文件后忘记改属主；或者误将整个 /var/lib 目录 chown 成了其他用户。
- 执行
sudo chown -R mysql:mysql /var/lib/mysql（路径以实际为准） - 不要用
chown -R root:mysql或chown -R mysql:root—— 属组也必须是mysql，否则某些发行版（如 RHEL/CentOS）的 SELinux 策略会拦截 - 确认修改后运行
ls -ld /var/lib/mysql，输出首字段应为drwx------，第三、四列均为mysql
data目录权限不能开放写入给组或其他用户
MySQL要求数据目录及其子目录严格限制访问权限，否则启动失败或触发安全警告。典型错误是执行了 chmod 775 或 chmod 777，导致 mysqld 拒绝启动，并在错误日志中提示 Directory permission is too open。
这不仅是MySQL的“矫情”，而是防止未授权进程（如被入侵的Web应用）篡改表文件或写入恶意 .frm/.ibd 文件。
- 标准权限应为
700（即drwx------），仅允许mysql用户读、写、进入 - 子目录如
/var/lib/mysql/mysql/、/var/lib/mysql/testdb/也需保持700，不能单独放宽 - 若使用NFS或共享存储，需确保挂载选项含
noexec,nosuid,nodev，且服务端导出权限不覆盖本地 umask
socket文件和pid文件的权限常被忽略
MySQL通过 Unix socket 文件（如 /var/run/mysqld/mysqld.sock）与本地客户端通信，同时用 pid 文件（如 /var/run/mysqld/mysqld.pid）记录主进程ID。这两类文件若权限不当，会导致客户端连接失败或服务无法优雅关闭。
现象包括：Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock'，但 mysqld 进程实际在运行。
- socket 文件权限应为
660，属主属组都是mysql；目录/var/run/mysqld/权限应为755或750（取决于是否允许其他用户执行 ls） - pid 文件权限应为
644或640，但必须确保mysql用户可写 —— 常见坑是 systemd 临时目录（如/run/mysqld）被设为700且属主为root，导致 mysqld 启动时无法创建 socket - 检查方式：运行
mysqladmin variables | grep socket查路径，再用ls -l看权限和属主
SELinux或AppArmor启用时，文件上下文必须匹配
在 CentOS/RHEL（SELinux）或 Ubuntu（AppArmor）上，即使属主和权限都正确，MySQL仍可能因策略拦截而无法读写数据文件，错误日志里不会直接说 SELinux，而是泛泛报 Permission denied。
本质是安全模块对文件打了类型标签（如 SELinux 的 mysqld_db_t），而你手动复制的文件继承的是 default_t 或 etc_t，不被允许访问。
- 检查 SELinux 状态：运行
sestatus；若为enforcing，再执行ls -Z /var/lib/mysql，确认所有文件类型为mysqld_db_t - 修复命令：
sudo semanage fcontext -a -t mysqld_db_t "/var/lib/mysql(/.*)?"，然后sudo restorecon -Rv /var/lib/mysql - AppArmor 用户需确认
/etc/apparmor.d/usr.sbin.mysqld中包含对应路径的读写规则，且配置已加载（sudo aa-status查看）
MySQL 的文件权限问题从来不是孤立的 chmod 操作，它卡在操作系统用户模型、安全模块、服务运行上下文三者的交界处。最容易漏掉的是 SELinux 上下文重置，以及 socket 目录的属主与权限不匹配——这两个点查日志不明显，但一碰就崩。
