远程连接报Access denied主因是MySQL 8.0默认仅存在'root'@'localhost'用户，不匹配远程IP；必须显式创建'root'@'%'用户、设为mysql_native_password插件、配置bind-address=0.0.0.0、放行3306端口，四者缺一不可。
为什么远程连接总是报 Access denied？
不是密码错了，而是 MySQL 8.0 根本没找到匹配的 root@% 用户。默认安装后，root 只允许从 localhost 连接，SELECT user, host FROM mysql.user; 查出来基本是 'root'@'localhost' —— 这个账户对任何远程 IP 都无效。
常见错误现象包括：Access denied for user 'root'@'192.168.1.50'（IP 是你客户端的真实地址），或 Navicat 报错 ERROR 2059 (HY000): Authentication plugin 'caching_sha2_password' cannot be loaded。
- 必须显式创建
'root'@'%'或更具体的'root'@'192.168.1.100'用户，不能只改host字段 -
GRANT命令不会自动创建用户，CREATE USER是前置必要步骤 - 执行完
GRANT后必须跟FLUSH PRIVILEGES;，否则权限不生效
MySQL 8.0 认证插件不兼容怎么办？
MySQL 8.0 默认用 caching_sha2_password，但很多老客户端（如旧版 Navicat、DBeaver、某些 Python MySQL 驱动）只认 mysql_native_password。强行连会触发 ERROR 2059。
解决方式不是降级整个服务器，而是按需切换指定用户的认证方式：
- 查看当前 root 的认证插件：
SELECT user, host, plugin FROM mysql.user WHERE user = 'root'; - 如果插件是
caching_sha2_password，且客户端不支持，就重置为mysql_native_password：ALTER USER 'root'@'%' IDENTIFIED WITH mysql_native_password BY 'YourStrongPass!123'; - 注意：不要对
'root'@'localhost'做此操作，本地命令行登录可能依赖原插件；只改远程用的那个账号 - 密码必须满足
validate_password策略（默认 MEDIUM：8位+大小写+数字+特殊字符），否则语句会失败
bind-address 和防火墙哪边先查？
即使用户、密码、插件全对，telnet your-server-ip 3306 超时，说明连接根本没到 MySQL。这时问题在 TCP 层。
顺序排查比瞎试更快：
- 检查 MySQL 配置文件（通常是
/etc/mysql/mysql.conf.d/mysqld.cnf或/etc/my.cnf），确认bind-address是0.0.0.0或服务器真实 IP，不是127.0.0.1 - 修改后必须重启服务：
sudo systemctl restart mysql（Ubuntu/Debian）或sudo systemctl restart mysqld（CentOS/RHEL） - Linux 防火墙：Ubuntu 用
sudo ufw allow 3306，CentOS 用sudo firewall-cmd --permanent --add-port=3306/tcp && sudo firewall-cmd --reload - 云服务器（阿里云、腾讯云等）必须额外配置安全组规则，放行 TCP 3306 入向流量——这步漏掉，前面全白做
生产环境该不该用 root 远程？
不该。直接开放 root@% 是高危操作，哪怕配了强密码，也等于把数据库大门钥匙挂在公网门口。
推荐做法是创建最小权限专用用户：
- 按业务隔离建库，比如
app_production，然后只授权这个库：CREATE USER 'app_rw'@'192.168.1.100' IDENTIFIED WITH mysql_native_password BY 'AppRwPass!2026'; - 只给必要权限：
GRANT SELECT, INSERT, UPDATE, DELETE ON app_production.* TO 'app_rw'@'192.168.1.100'; - 主机名尽量不用
%，填具体应用服务器 IP；若必须动态，可用子网掩码如'192.168.1.%' - 禁用密码过期：
ALTER USER 'app_rw'@'192.168.1.100' PASSWORD EXPIRE NEVER;，避免运维半夜被告警叫醒
真正容易被忽略的是：MySQL 8.0 的 validate_password 组件默认开启，哪怕你手动 SET PASSWORD，只要策略不满足，语句就会静默失败——务必先 SHOW VARIABLES LIKE 'validate_password%'; 看清要求再设密码。
