本地Symfony应用直连阿里云RDS失败，首要排查DNS解析是否通——本地系统不走阿里云内网DNS，导致RDS内网域名（如rm-xxx.mysql.rds.aliyuncs.com）无法解析；应优先用RDS控制台显示的内网IP替换DB_HOST临时验证，并检查本地网络是否允许访问RDS所在VPC网段。
本地 Symfony 应用直连阿里云 RDS 失败，先看 host 解析是否通
绝大多数“连不上”根本不是认证或权限问题，而是 DNS 卡在第一步：你的开发机压根解析不了 RDS 的内网域名（比如 rm-xxx.mysql.rds.aliyuncs.com）。本地系统默认不走阿里云内网 DNS，ping 或 nslookup 该域名大概率超时或返回 NXDOMAIN。
实操建议：
- 直接用 RDS 控制台里显示的「内网 IP」替换
DB_HOST，绕过域名解析（临时验证用） - 确认本地网络是否允许访问阿里云 VPC 内网段（常见于企业办公网策略拦截）
- 别信
localhost或127.0.0.1—— 阿里云 RDS 不监听本地回环，这么填必错
PDO::__construct() 报 SQLSTATE[HY000] [2002]，重点查端口和防火墙
这个错误明确表示 TCP 连接被拒绝，不是认证失败。阿里云 RDS 默认只放行白名单内的 IP，且仅开放内网地址（除非你特意申请了公网地址）。
实操建议：
- 登录阿里云 RDS 控制台 →「白名单设置」→ 确认你的本地出口 IP（非内网 IP）已加入，或干脆加
0.0.0.0/0（测试用，勿上线） - 在本地终端执行：
telnet rm-xxx.mysql.rds.aliyuncs.com 3306，不通就停在这里排查——不是代码问题 - 检查本地是否开了代理（如 Clash、Surge），它们常劫持 3306 流量导致连接中断
- Mac 用户注意：系统自带防火墙有时会静默拦截出站连接，可临时关闭验证
Docker 容器里跑 Symfony 连 RDS，docker network 和 RDS 网段撞车了
阿里云 RDS 内网地址多为 172.22.x.x、172.23.x.x 段，而 Docker 默认创建的桥接网络（如 bridge、docker_gwbridge）也爱用 172.17.0.0/16～172.31.0.0/16。一旦重叠，Linux 内核路由表会把发往 RDS 的包误导向本地 docker 网络，连接直接消失。
实操建议：
- 执行
ip route | grep 172和docker network ls，对比 RDS 网段和本地 docker 网络 CIDR - 删掉冲突的自定义网络：
docker network rm myapp_default - 重建时强制指定不冲突子网：
docker network create --subnet=192.168.200.0/24 myapp_network - 启动容器时用
--network myapp_network显式挂载
连上了但隔几分钟就断，PDO::ATTR_TIMEOUT 和 RDS wait_timeout 对不上
阿里云 RDS 默认 wait_timeout=300（5 分钟），比 MySQL 社区版默认的 8 小时激进得多。如果 Symfony 没显式配置 PDO 连接超时，空闲连接会在服务端被主动 kill，下次复用时抛 MySQL server has gone away。
实操建议：
- 在 Doctrine 配置里加：
options: { !php/const PDO::ATTR_TIMEOUT: 10 } - 或者改
doctrine.yaml中的url参数，追加&connect_timeout=10&read_timeout=30 - 更稳妥的做法：启用连接池（如 ProxySQL）或在应用层加健康检查 + 自动重连逻辑
- 别依赖
PDO::ATTR_PERSISTENT—— 长连接在云环境反而更容易踩max_connections限制
