<p>必须用最小权限账号创建 exporter 用户，CREATE USER 须带 WITH MAX_USER_CONNECTIONS 3；授予 PROCESS、REPLICATION CLIENT 及 performance_schema.SELECT 权限；host 优先用 'localhost'，密码避开 # ; 空格，执行 FLUSH PRIVILEGES 生效。</p>
必须用最小权限账号，不能复用 root 或应用账号；否则 Prometheus 采集失败、指标缺失、甚至触发 MySQL 安全策略拦截。
CREATE USER 语句里要带 WITH MAX_USER_CONNECTIONS
这是最容易被忽略的硬性限制。mysqld_exporter 默认会建立多个连接（尤其开启 --collect.info_schema.processlist 后），若不限制，可能耗尽 MySQL 连接数或被安全策略拒绝。
- MySQL 5.7+ 和 8.0 都支持该语法，但 MariaDB 10.4+ 才开始支持，旧版需改用
max_user_connections系统变量配合GRANT - 推荐值设为
3～5，足够覆盖常规采集器并发，又不会干扰业务 - 示例：
CREATE USER 'exporter'@'localhost' IDENTIFIED BY 'StrongPassword123!' WITH MAX_USER_CONNECTIONS 3;
GRANT 权限不能只写 SELECT
仅给 SELECT 权限会导致 mysqld_exporter 启动时报错，比如 ERROR: failed to connect to mysql: Error 1227: Access denied; you need (at least one of) the PROCESS privilege(s) for this operation。
- 必需权限：
PROCESS（查SHOW PROCESSLIST、info_schema.processlist）、REPLICATION CLIENT（查主从状态、slave_status采集器） - 可选但强烈建议加：
SELECT ON performance_schema.*（MySQL 8.0+ 中部分指标如events_statements_summary_by_digest依赖此库） - 避免授予
REPLICATION SLAVE（除非你明确需要binlog_size或解析 relay log），它属于高危权限
host 值别盲目写 '%'，优先用 'localhost'
如果 mysqld_exporter 和 MySQL 在同一台机器上，用 'localhost' 而不是 '%' —— 这不仅更安全，还能绕过 MySQL 的 DNS 解析开销和潜在的 skip-name-resolve 冲突。
- 若 exporter 在远程主机（如 Prometheus Server 所在节点），才用
'%'或具体 IP，例如'192.168.10.5' - MySQL 8.0 默认认证插件是
caching_sha2_password，本地连接用localhost时仍走 socket，兼容性更好；用%可能触发插件不匹配报错ERROR 2059 (HY000): Authentication plugin 'caching_sha2_password' cannot be loaded - 执行完记得
FLUSH PRIVILEGES;，否则权限不生效
密码别用简单字符串，但也不必过度复杂
密码要满足 MySQL 密码策略（尤其是 8.0+ 默认启用 validate_password），但不用刻意加 Unicode 或特殊符号——mysqld_exporter 的配置文件（如 .my.cnf）或环境变量中若含未转义的 #、;、空格，会导致解析失败。
- 推荐格式：大小写字母 + 数字 + 一个符号（如
@或!），长度 ≥10，例如Xhy@@0310或Prometheus_2026! - 避免在密码里用
#（会被.my.cnf当注释）、;（INI 分隔符）、 - 若用 Docker 或 Kubernetes，优先通过 Secret 挂载
.my.cnf，而不是把密码写进command参数里暴露在ps aux中
真正容易出问题的不是“能不能连上”，而是“连上了但采不到关键指标”——比如没给 PROCESS 就看不到慢查询线程，没给 performance_schema 权限就拿不到语句性能摘要。每加一条 GRANT，都要对应检查 mysqld_exporter 日志里有没有 WARN 或 level=error 提示缺失权限。
