Dify连接MySQL失败主因是MySQL用户host字段不匹配容器真实源IP，须将host设为具体IP、网段（如172.17.%）或%（慎用），禁用localhost；MySQL 8.0+需注意认证插件兼容性。
MySQL用户host字段必须匹配容器实际来源IP
在Dify或任意Docker容器中连接宿主机MySQL失败，90%是因为mysql.user表里对应用户的host值不匹配——容器内发起连接时，源IP不是localhost，也不是127.0.0.1，而是Docker分配的网段地址（如172.17.0.2）或宿主机真实IP（取决于网络模式）。直接用root@localhost授权完全无效。
验证方式：登录MySQL后执行SELECT user, host FROM mysql.user;，确认你要用的账号（比如root）对应的host是否为%、172.16.%、192.168.%或宿主机具体IP。若显示localhost，它只接受来自MySQL本机进程的连接，不接受任何TCP连接。
- 生产环境慎用
'root'@'%'，至少限制为宿主机IP或Docker桥接网段（如'root'@'172.17.%'） - MySQL 8.0+必须先创建用户再授权：
CREATE USER 'app'@'172.17.%' IDENTIFIED BY 'pwd123'; GRANT ALL ON mydb.* TO 'app'@'172.17.%'; FLUSH PRIVILEGES; - 修改已有用户host需用
UPDATE mysql.user SET host='172.17.%' WHERE user='app' AND host='localhost';，之后务必FLUSH PRIVILEGES;
Docker启动MySQL时指定固定IP并绑定到自定义网络
如果MySQL本身也跑在Docker里（常见于Dify本地部署），默认bridge网络下容器每次重启IP都会变，导致其他服务（如Nacos、LangChain后端）连接中断。解决办法不是“猜IP”，而是让MySQL容器拥有稳定可预期的IP地址。
关键动作分三步：建自定义网络 → 启动MySQL时绑定IP → 其他容器复用同一网络。这样所有容器可通过IP直连，也可通过容器名解析（更推荐后者）。
- 创建子网网络：
docker network create --subnet=192.168.20.0/24 mynet - 启动MySQL（8.0）并固定IP：
docker run --network=mynet --ip=192.168.20.2 -p 3306:3306 -e MYSQL_ROOT_PASSWORD=123456 -d --name mysql8 mysql:8.0 - 其他容器（如Dify后端）启动时也加
--network=mynet，连接MySQL时用192.168.20.2:3306或直接写mysql8:3306（Docker内置DNS支持容器名解析）
Dify连接串里不能写localhost或127.0.0.1
Dify运行在自己的容器里，它的localhost指向自己这个容器，不是宿主机，也不是同网络下的MySQL容器。哪怕你把MySQL和Dify都跑在同一台物理机上，只要没走host网络模式，localhost就一定连不通。
正确填法取决于你的部署结构：
- MySQL在宿主机 → 填宿主机真实IP（如
192.168.1.100），**不是127.0.0.1**；需确保宿主机MySQL已监听0.0.0.0:3306（检查bind-address配置）且防火墙放行 - MySQL也在Docker里且与Dify共用网络 → 填MySQL容器名（如
mysql8）或你分配的静态IP（如192.168.20.2） - 使用Docker Compose → 直接写服务名（如
environment: DB_HOST: mysql），Compose自动注入DNS记录
MySQL 8.0默认认证插件导致连接被拒
MySQL 8.0+默认用caching_sha2_password插件，而部分旧版客户端（尤其某些Java驱动、低版本Dify镜像）只支持mysql_native_password。现象是报错Public Key Retrieval is not allowed或直接拒绝连接，但错误信息未必明确提示认证问题。
临时解法（开发阶段可用）：创建用户时强制指定旧插件
CREATE USER 'dify_app'@'172.17.%' IDENTIFIED WITH mysql_native_password BY 'pass123'; GRANT ALL ON dify_db.* TO 'dify_app'@'172.17.%'; FLUSH PRIVILEGES;
长期建议升级Dify所用数据库驱动，或在MySQL配置中全局回退（不推荐）：default_authentication_plugin=mysql_native_password（需重启MySQL）。
真正容易被忽略的是：即使IP、端口、用户名密码全对，只要认证插件不兼容，连接就会静默失败——查日志时重点看MySQL错误日志里有没有Authentication plugin相关条目。
