bind-address是MySQL监听网络接口的最关键配置，必须显式设为内网IP（如192.168.1.100），默认127.0.0.1仅限本机访问，设0.0.0.0则暴露所有接口；配合skip-name-resolve和精确user@host权限才能实现安全内网访问。
bind-address 必须显式设为内网 IP（如 192.168.1.100），不能留空或用 0.0.0.0 —— 否则默认监听 127.0.0.1，其他内网机器根本连不上。
为什么 bind-address 是最关键的一步？
MySQL 启动时只监听一个地址，bind-address 决定它“听谁说话”。内网部署常见错误是改了用户权限却连不上，根源就是这个参数没动。
- 默认值是 127.0.0.1，仅本机可连
- 设为 0.0.0.0 虽然能通，但会暴露给所有网络接口，存在安全风险
- 正确做法：在 my.cnf 或 my.ini 的 [mysqld] 段里写死内网 IP，例如：bind-address = 192.168.1.100
- 修改后必须重启 MySQL 服务，且要确认防火墙放行对应端口（默认 3306）
skip-name-resolve 在内网要不要开？
要开。内网 DNS 往往不可靠或未配置，不开会导致连接卡顿甚至超时。
- 开启后，MySQL 不做反向 DNS 查询，直接用 IP 认证用户
- 副作用：授权语句中 host 字段必须用 IP（如 'root'@'192.168.1.50'），不能用主机名
- 配置方式很简单，在 [mysqld] 下加一行：skip-name-resolve
- 注意：开完要重新执行 FLUSH PRIVILEGES;，否则旧的基于主机名的账号会失效
远程用户权限怎么配才真正生效？
光改配置文件不够，MySQL 用户表里的 host 字段必须匹配客户端来源 IP。
- 错误示范：GRANT ALL ON *.* TO 'root'@'localhost'; → 只允许本机连
- 正确做法（假设内网客户端是 192.168.1.50）：CREATE USER 'app'@'192.168.1.50' IDENTIFIED BY 'strong-pass';GRANT SELECT,INSERT ON mydb.* TO 'app'@'192.168.1.50';FLUSH PRIVILEGES;
- 如果多个内网段都要访问，可写成 'app'@'192.168.1.%'，但别滥用 '%' —— 它绕过 bind-address 的限制，可能意外暴露
连接测试失败，先查哪几个点？
别急着重装，按顺序快速验证：
- 用 netstat -an | grep :3306（Linux/macOS）或 netstat -ano | findstr :3306（Windows）确认 MySQL 确实在监听你设的 IP 和端口
- 从目标客户端机器执行 telnet 192.168.1.100 3306，不通说明网络层阻断（防火墙、交换机 ACL、云主机安全组）
- 能 telnet 通但 mysql -h 192.168.1.100 -u app -p 报错 Access denied，说明权限或认证插件问题（MySQL 8.0 默认用 caching_sha2_password，老客户端可能不兼容）
- 所有配置生效后，用 SHOW VARIABLES LIKE 'bind_address'; 和 SELECT host,user FROM mysql.user; 现场核对，比文档更可信
内网环境看似简单，但 bind-address、用户 host、skip-name-resolve 这三者必须协同生效，漏一个就白配。尤其注意 Windows 上服务启动时是否读取了正确的配置文件（常被忽略的 my.ini 路径问题）。
