MySQL 8.0 创建限定IP用户必须先用CREATE USER显式声明主机名（如'192.168.10.5'或'192.168.10.%'），再GRANT授权，且GRANT的host必须与CREATE USER完全一致，否则报ERROR 1410或权限不生效。
MySQL 8.0 创建限定IP的用户必须用 CREATE USER 显式声明主机名
MySQL 8.0 默认禁用匿名用户和通配符主机（如 '%'）的宽松匹配，且 GRANT 不再自动创建用户。如果直接 GRANT ... ON *.* TO 'u'@'%'，会报错 ERROR 1410 (42000): You are not allowed to create a user with GRANT。
正确做法是先用 CREATE USER 指定确切的客户端 IP 或网段，再赋权：
CREATE USER 'appuser'@'192.168.10.5' IDENTIFIED BY 'StrongPass!2024';
支持的主机格式包括：
-
'192.168.10.5'：精确 IPv4 地址 -
'192.168.10.%'：匹配该子网下所有 IPv4（注意：不是 CIDR，不支持/24） -
'::1'或'2001:db8::/64'（需用引号包裹）：IPv6 地址或前缀（MySQL 8.0.17+ 支持/n表示法） -
'localhost'：仅限 Unix socket 连接，和127.0.0.1是两个不同账户
赋权时 host 必须与 CREATE USER 完全一致
后续 GRANT 的主机部分写错一个字符（比如多空格、大小写、漏点），就会创建新用户而非授权给已有用户，导致权限不生效。
例如，若用户是 'appuser'@'192.168.10.5'，以下操作是错的：
GRANT SELECT ON mydb.* TO 'appuser'@'192.168.10.5 '; -- 末尾空格 → 新用户
应严格保持一致：
GRANT SELECT, INSERT ON mydb.* TO 'appuser'@'192.168.10.5';
常见疏忽：
- 把
localhost和127.0.0.1当成同一个 host（它们在 mysql.user 表里是两条记录） - 在 Docker 或 Kubernetes 中误用容器内网 IP（如
172.18.0.3），而客户端实际走的是宿主机或 Service IP - 防火墙/NAT 后的真实客户端 IP 被代理隐藏，结果按代理 IP 授权，连不上
刷新权限后仍连不上？检查 skip-name-resolve 和 DNS 反查
MySQL 默认会对客户端 IP 做反向 DNS 解析。如果 DNS 不稳定或未配置 PTR 记录，连接可能超时或被拒绝，即使 IP 匹配也失败。
验证方法：登录 MySQL 后执行
SELECT USER(), CURRENT_USER();
若返回类似 'appuser@myapp-7c8f9d4b5-xv6k2'（主机名为 hostname 而非 IP），说明发生了 DNS 解析 —— 这时你授权的 'appuser'@'192.168.10.5' 就不匹配了。
解决方案（二选一）：
- 在 MySQL 配置文件中设置
skip-name-resolve = ON，重启 mysqld（推荐，尤其在容器/云环境） - 或改用主机名授权：
CREATE USER 'appuser'@'myapp-7c8f9d4b5-xv6k2'...（不推荐，运维难度高）
验证连接是否真走指定 IP，别信应用日志里的“localhost”
很多 ORM 或连接池默认配置 host=localhost，但 MySQL 协议下这会优先走 Unix socket（跳过 TCP/IP 栈），根本不会触发 IP 权限检查。此时 'user'@'localhost' 和 'user'@'127.0.0.1' 是两码事。
强制走 TCP 的办法：
- 连接时显式指定
host=127.0.0.1（不是localhost） - 命令行测试用：
mysql -h 127.0.0.1 -u appuser -p - 确认连接方式：
SELECT @@hostname, SUBSTRING_INDEX(USER(), '@', -1) AS connected_from;
最易被忽略的一点：开发环境跑在本地，测试用 localhost 成功了，一上生产就挂 —— 因为生产数据库监听的是内网 IP，而应用配的还是 localhost，根本没发出去。
