bind-address 是 MySQL 监听网络接口的底层配置，设为 127.0.0.1 可锁死仅本地回环访问，设为内网 IP 需确保网卡启用、配置无引号、防火墙放行，设为 0.0.0.0 仅表示监听所有网卡，仍需防火墙、用户权限和云安全组协同控制访问。

bind-address 是 MySQL 控制“谁可以连上来”的第一道关卡，但它不等于“禁止外部 IP”，而是一个更底层的网络绑定行为——设错值反而会让服务无法启动或暴露得更彻底。

MySQL8 CRM Schema Design Expert

面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。

下载

---

bind-address 设成 127.0.0.1 就安全了吗？

• 是的，这是最常用、最稳妥的本地锁死方式：MySQL 只监听回环接口，任何来自网卡（包括本机其他进程走公网 IP 连）的 TCP 请求都会被内核直接拒绝。
• 但要注意：
  • 如果你用的是 Docker 或 Pod 环境，127.0.0.1 只对容器内部有效，宿主机或其他容器仍可能通过桥接网络访问 —— 此时必须配合容器网络策略或防火墙。
  • 某些旧版 MySQL（如 5.6）在 skip-networking = 1 和 bind-address = 127.0.0.1 同时存在时会冲突，优先以 skip-networking 为准（即完全禁用 TCP），此时 bind-address 不生效。
  • 检查是否真生效：运行 netstat -tlnp | grep :3306，应只看到 127.0.0.1:3306，而不是 *:3306 或具体外网 IP。

---

bind-address 设成内网 IP（如 192.168.1.100）的实操要点

• 这适合多网卡服务器，比如一块接内网、一块接公网，你想只让内网服务（如 PHP 应用服务器）能连 MySQL，但又不想改应用连接字符串里的 host。
• 必须满足三个条件才真正生效：
  • 配置文件中 bind-address = 192.168.1.100（不能写错格式，不能带空格或引号）
  • 对应网卡已启用且该 IP 已正确配置（ip addr show 能查到）
  • 防火墙未拦截该网卡上的 3306 端口（尤其是 CentOS 的 firewalld 默认只放行 public zone，内网网卡可能在 internal zone 里，需单独配置）
• 常见翻车点：
  • 写成 bind-address = "192.168.1.100" → MySQL 启动失败，日志报 Invalid argument
  • 网卡 IP 后续被 DHCP 改了，但配置没同步 → MySQL 启动成功，但监听在 0.0.0.0 或失败静默
  • 应用连的是域名，DNS 解析到了公网 IP，结果连不上 → 此时要改 DNS 或 hosts，不是 MySQL 配置问题

---

bind-address = 0.0.0.0 不等于“开放给所有人”

• 它只是告诉 MySQL：“我在所有网卡上监听 3306”，但后续还有三道过滤：
  • 系统防火墙（iptables/firewalld）是否放行该端口和源 IP
  • MySQL 用户权限表里，'user'@'host' 的 host 字段是否允许那个 IP（例如 'app'@'10.0.2.%'）
  • 云厂商安全组（阿里云/腾讯云等）是否放开 3306 入方向
• 所以即使 bind-address = 0.0.0.0，只要防火墙或权限表卡住，外部 IP 依然连不上。
• 但反过来说：如果你只想禁止外部 IP，却只改 bind-address 而不配防火墙，就等于把门开着、只靠屋里挂个“谢绝入内”牌子——不保险。

---

修改后必须验证的两件事

• 重启服务后，立刻执行：

  mysql -h 127.0.0.1 -u root -p

  确保本地能连；再从另一台机器跑：

  telnet your-server-ip 3306

  如果返回 Connection refused，说明 bind-address 和防火墙共同起效了。
• 登录 MySQL 后查：

  SHOW VARIABLES LIKE 'bind_address';

  SHOW VARIABLES LIKE 'port';

  确认值和你写的完全一致（注意空格、大小写、引号都算错）。

真正的难点不在改哪一行，而在于改完之后，你得清楚每一层（内核网络栈、MySQL 权限模型、系统防火墙、云平台安全组）各自承担什么职责。少盯住一层，就可能白改。