AlmaLinux 9 上 MySQL 8.0.x 生产部署需手动配置：清空并正确授权 /var/lib/mysql 后用 --initialize 初始化；SELinux 应用 audit2allow 生成策略而非禁用；systemd 需覆盖服务单元指定 defaults-file 和 ExecStart；远程连接须开放 33060 端口、显式授权用户、禁用 skip-networking；日志轮转需自定义 logrotate 并重启服务。
mysqld 服务在 AlmaLinux 9 上默认不直接适配生产环境，必须手动干预配置项、权限、SELinux 和 systemd 行为，否则会卡在初始化失败、无法自启、远程连接被拒或日志写入拒绝等环节。
MySQL 8.0.x 初始化失败：--initialize-insecure 不是万能解药
AlmaLinux 9 的 mysql-community-server RPM 包（如 8.0.32/39）默认调用 mysqld --initialize，但若 /var/lib/mysql 非空或 SELinux 上下文错误，会直接报错退出，且不输出具体原因。此时强行改用 --initialize-insecure 虽能跳过密码生成，但带来两个硬伤：
• 它要求 datadir 必须为空，否则仍失败；
• 启动后 root 密码为空，不符合生产最小权限原则；
• 更关键的是，它绕过了 mysql_native_password 插件的自动加载，导致后续客户端认证失败。
真正稳妥的做法是：先清空 /var/lib/mysql，再确保该目录属主为 mysql:mysql，最后用 mysqld --initialize --user=mysql --datadir=/var/lib/mysql 手动触发初始化——这样生成的临时密码会写入 /var/log/mysqld.log，可安全提取。
SELinux 拦路时不要直接 disable，而要精准放行
AlmaLinux 9 默认启用 enforcing 模式，mysqld 启动时若尝试写日志、读配置、绑定端口或访问挂载卷，常被拦截，典型现象是 systemctl status mysqld 显示 “failed to start” 但无明确错误。别急着 setenforce 0 或改 /etc/selinux/config，应先查拒绝记录：
• 运行 ausearch -m avc -ts recent | grep mysqld
• 若看到 avc: denied { write } for ... scontext=system_u:system_r:mysqld_t:s0，说明策略缺失
• 正确做法是：用 audit2allow -a -M mysql_local 生成模块，再 semodule -i mysql_local.pp 加载
• 对于挂载外部存储（如 /mnt/blockstorage/mysql_data），必须加 :Z 标签（Volume=/mnt/...:/var/lib/mysql:Z），否则即使模块加载也无效
systemd 服务启动失败：检查 mysqld_pre_systemd 的硬编码路径
RPM 安装包自带的 /usr/bin/mysqld_pre_systemd 脚本里，有几处硬编码路径容易出问题：
• 它默认假设 basedir 是 /usr，但若你用二进制包装到 /usr/local/mysql，脚本会找不到 mysqld 二进制文件
• 它调用 mysql-systemd-helper 时未传 --defaults-file，导致无法识别你自定义的 /etc/my.cnf
• 解决方案不是重写脚本，而是覆盖 systemd 单元：复制 /usr/lib/systemd/system/mysqld.service 到 /etc/systemd/system/mysqld.service，然后在 [Service] 段添加：Environment="MYSQLD_OPTS=--defaults-file=/etc/my.cnf"ExecStart=/usr/local/mysql/bin/mysqld $MYSQLD_OPTS
再执行 systemctl daemon-reload && systemctl enable mysqld
远程连接被拒：不只是 bind-address 的事
设了 bind-address = 0.0.0.0 还连不上？常见漏点：
• firewalld 默认只放行 3306 的 tcp，但 MySQL 8.0+ 的 X Protocol 默认开在 33060，若用 Connector/J 8.0+ 或 MySQL Shell，需额外放行：firewall-cmd --permanent --add-port=33060/tcp
• 用户权限没显式授权：CREATE USER 'app'@'%' IDENTIFIED BY 'pwd'; GRANT ALL ON appdb.* TO 'app'@'%'; FLUSH PRIVILEGES; —— 注意 'app'@'%' 和 'app'@'localhost' 是两个不同用户
• skip-networking 在某些 RPM 包的模板配置里被默认开启，务必确认它被注释或删掉
• 若用 Podman 或 Quadlet 部署，PublishPort=3306:3306 必须写在 [Container] 段，写错位置会导致端口不映射
生产环境最易被忽略的其实是日志轮转与磁盘水位联动。MySQL 错误日志、慢查询日志、二进制日志都可能撑爆根分区，而 logrotate 默认不监控 /var/lib/mysql 下的文件。必须手写 /etc/logrotate.d/mysql 并加入 sharedscripts 和 postrotate mysqld restart 逻辑，否则 rotate 后 mysqld 仍往旧文件句柄写，磁盘空间不会释放。
