MySQL迁移后远程连不上，根本原因是user表中用户host字段不匹配新环境客户端IP，需用CREATE USER/ALTER USER修改host为'%'或具体IP，再GRANT授权并执行FLUSH PRIVILEGES；同时确认bind-address=0.0.0.0、3306端口开放且安全组放行。
MySQL迁移后远程连不上，大概率不是密码或网络问题，而是用户记录里的 host 字段不匹配新环境来源 IP —— 这个字段在迁移时不会自动适配，必须手动检查并修正。
查清楚当前用户真实的 host 值是什么
迁移后旧用户仍保留原 host（比如 'localhost' 或某个内网 IP），但新客户端请求来源变了（比如云服务器公网 IP、Docker 容器网段、NAT 后的办公网出口 IP），导致认证直接失败。
- 执行
SELECT User, Host FROM mysql.user WHERE User = 'your_username';，重点看返回的Host列值 -
localhost只匹配 Unix socket 或显式-h 127.0.0.1的 TCP 连接，不接受任何远程 IP -
127.0.0.1是 IPv4 回环地址，也只允许本机 TCP 连接，和localhost效果不同但结果一样：拒绝外部 - 若看到多个同名用户（如
root@localhost和root@192.168.1.100），说明旧环境已有按 IP 绑定的记录，但新客户端 IP 不在其中
用 ALTER USER 或 CREATE USER 更新 host，别直接 UPDATE mysql.user
MySQL 8.0+ 禁用直接修改 mysql.user 表，UPDATE 会报 ERROR 1396 (HY000) 或权限拒绝；必须走授权语句，否则加密字段、密码哈希、账户状态全乱。
- 如果目标用户还不存在对应远程记录：
CREATE USER 'root'@'%' IDENTIFIED BY 'your_password'; - 如果已有本地用户想扩展为通配：
ALTER USER 'root'@'localhost' RENAME TO 'root'@'%'; - 若只想放开特定网段（更安全）：
CREATE USER 'app'@'10.0.2.%' IDENTIFIED BY 'pwd'; - 无论哪种，都必须补上授权：
GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' WITH GRANT OPTION; -
FLUSH PRIVILEGES;是硬性要求，不执行则内存缓存未更新，改了等于没改
注意 host 匹配顺序：MySQL 按最长前缀精确匹配，不是模糊通配
MySQL 查找用户时，会把客户端连接的 IP 或主机名，跟 mysql.user 表中所有 Host 值做**最长前缀匹配**。这意味着：
-
'user'@'192.168.1.%'优先于'user'@'%'，哪怕后者先建 -
'user'@'192.168.1.100'会命中，但'user'@'192.168.1.101'就不会，除非你加了.% - 空字符串
''不是通配符，它代表“匿名用户”，且仅当用户名也为空时才生效，日常不用 - DNS 解析开启时（
skip-name-resolve未启用），Host还可能被解析成主机名（如web01.example.com），此时填 IP 可能不匹配 —— 迁移后若 DNS 环境变了，这点极易被忽略
验证时别只信客户端报错，要分层确认连接是否真正抵达 MySQL
“Access denied for user” 是权限层错误，说明连接已到 MySQL；但“Connection refused”或“timeout”往往卡在更早环节 —— 此时 host 修改再正确也白搭。
- 先在服务端跑
netstat -tlnp | grep :3306，确认 MySQL 确实在监听0.0.0.0:3306，而不是127.0.0.1:3306 - 用
telnet your_server_ip 3306或nc -zv your_server_ip 3306从客户端测端口连通性，排除防火墙/安全组拦截 - 如果连得通但报
Host 'x.x.x.x' is not allowed to connect，才说明是host字段问题；如果连不通，回头检查bind-address、skip-networking、云平台安全组协议（必须是 TCP，不是 UDP） - 特别留意 MySQL 8.0+ 的 X Protocol 端口
33060：某些新版客户端（如 Spring Boot 3.x 默认驱动、MySQL Shell）默认走这个协议，而它的绑定由独立参数mysqlx-bind-address控制，和host权限无关，但会影响连接成败
最常被跳过的点：改完 host 后没执行 FLUSH PRIVILEGES;，或者以为改了配置文件就一劳永逸，却忘了用户表是运行时加载的独立权限系统 —— 它和 bind-address、防火墙、DNS 解析全属不同层级，必须逐层验证。
