看到大量unauthenticated user即可确定是DNS反向解析卡住，MySQL服务端收到连接后调用gethostbyaddr()反解IP失败或超时，导致线程卡在login状态；需配置skip-name-resolve=ON于[mysqld]段并重启，同时将mysql.user表中所有非IP/%%的Host替换为对应IP或网段。
看到大量 unauthenticated user 就基本可以确定是 DNS 反向解析卡住
MySQL 服务端收到 TCP 连接后，会调用 gethostbyaddr() 把客户端 IP 反向解析成主机名，再查 mysql.user 表匹配 'user'@'host'。如果 DNS 不通、PTR 记录缺失或超时，默认会等满 5 秒 × 3 次重试（glibc 默认），线程就卡在 login 状态，SHOW PROCESSLIST 里全是 unauthenticated user，Host 列显示 IP 而非域名。
验证方法：
– 执行 SELECT @@skip_name_resolve;，返回 0 表示未关闭反查
– 查错误日志是否有 Can't get hostname for your address 或 Aborted connection ... user: 'unauthenticated'
– 用 strace -p $(pgrep mysqld) -e trace=gethostbyaddr 观察是否阻塞在该系统调用
skip_name_resolve=ON 必须写对位置、重启才生效
这个参数只对服务端起作用，写在 [client]、[mysql] 或配置文件开头都无效。常见失效原因：
- 改错了文件：Ubuntu/Debian 下
!includedir /etc/mysql/conf.d/可能覆盖主配置，先运行mysqld --verbose --help | grep "Default options"确认最终加载路径 - 没真正重启：用
systemctl reload mysql不生效，必须systemctl restart mysql - Windows 用户误配到
my.ini全局区，要确保写在[mysqld]段内
正确写法（例如在 /etc/mysql/mysql.conf.d/mysqld.cnf 中）：
[mysqld] skip-name-resolve = ON
生效后验证：mysql -e "SHOW VARIABLES LIKE 'skip_name_resolve';" 返回 ON 才算成功。
开了 skip_name_resolve 后权限全挂了？这是设计行为，不是 bug
启用后 MySQL 彻底跳过所有 DNS 解析，mysql.user 表里的 Host 字段只能按字面匹配 IP 或 %，不再识别 web01.example.com、localhost（注意：'root'@'localhost' 和 'root'@'127.0.0.1' 是两个账户）。
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
排查和修复步骤：
- 查问题账号：
SELECT User, Host FROM mysql.user WHERE Host NOT IN ('%', 'localhost', '127.0.0.1', '::1') AND Host NOT REGEXP '^\d+\.\d+\.\d+\.\d+$'; - 逐条更新为实际 IP：
UPDATE mysql.user SET Host = '10.0.2.5' WHERE User = 'app' AND Host = 'web01.example.com'; - 刷新权限：
FLUSH PRIVILEGES;
Kubernetes 等动态 IP 环境慎用——Pod IP 随时变化，硬写 IP 不可持续；此时应评估是否真能关反查，或改用网段授权（如 'app'@'10.0.2.%'）。
客户端用域名连接慢，和 skip_name_resolve 完全无关
如果应用连接串里是 host=database-prod，那慢的是客户端本地的 getaddrinfo() 正向 DNS 解析，不是服务端反查。解决方向完全不同：
- 检查客户端
/etc/resolv.conf是否指向响应慢的 DNS（time dig database-prod @8.8.8.8） - 在客户端
/etc/hosts里加静态映射：10.0.2.100 database-prod - 调整 glibc DNS 超时：
options timeout:1 attempts:2写进/etc/resolv.conf
真正麻烦的从来不是加参数，而是授权语句批量替换后的验证——漏掉一个 @'host'，对应服务就断连。上线前务必用真实 IP 实测每个账号。
