2003错误本质是TCP连接被拒绝，需按顺序排查四项：MySQL服务是否运行、bind-address是否为0.0.0.0、防火墙/安全组是否放行3306端口、Navicat主机名应填127.0.0.1而非localhost。
2003 错误本质是 TCP 连接被拒绝，不是密码错、不是用户名错，Navicat 根本没触达 MySQL 服务端。90% 的情况按顺序排查四点，5 分钟内能解决。
MySQL 服务到底启动了没有？
这是最常被跳过的一步。Windows 上服务名不一定是 MySQL，可能是 MySQL80、MySQL57 或自定义名；Linux 下服务名可能是 mysql、mysqld，甚至 mariadb。
- Windows：运行
services.msc，搜索所有含 “MySQL” 的服务，确认状态为“正在运行”；或用管理员权限执行sc query | findstr MySQL，看STATE是否为4 RUNNING - Linux：执行
systemctl status mysql（或mysqld），若显示inactive (dead)，先试systemctl start mysql - 如果服务不存在：Windows 进
MySQL\bin目录运行mysqld.exe -install MySQL80，再net start MySQL80；Linux 可能需重装包或手动注册服务
bind-address 是不是锁死在 127.0.0.1？
本地 Navicat 填 localhost 连不上，但命令行 mysql -u root -p -h 127.0.0.1 能进——大概率就是这个原因。MySQL 默认只监听回环地址，不接受本机其他进程（如 Navicat）的连接请求。
- Linux 查监听：
sudo netstat -anptu | grep :3306，若输出含127.0.0.1:3306，说明仅本地监听 - 修改配置文件：Ubuntu 优先查
/etc/mysql/my.cnf，CentOS 查/etc/my.cnf，Windows 查C:\ProgramData\MySQL\MySQL Server X.X\my.ini - 找到或新增一行：
bind-address = 0.0.0.0（不要写成127.0.0.1或留空） - 改完必须重启服务：
sudo systemctl restart mysql（Linux）或net stop MySQL80 && net start MySQL80（Windows）
防火墙或安全组有没有拦住 3306 端口？
服务跑着、监听也放开，但 Navicat 还是连不上，中间很可能有网络策略在丢包。云服务器、Docker、VMware 虚拟机环境下尤其高发。
- Windows 防火墙：控制面板 → Windows Defender 防火墙 → 允许应用通过防火墙 → 手动添加
mysqld.exe，或直接放行端口3306 - Ubuntu：
sudo ufw status查状态，若 active，则运行sudo ufw allow 3306 - CentOS 7+：
sudo firewall-cmd --permanent --add-port=3306/tcp，再sudo firewall-cmd --reload - 云服务器（阿里云/腾讯云）：必须进控制台安全组，添加入方向规则，协议类型选
TCP，端口范围填3306，源 IP 建议先设为0.0.0.0/0测试用
Navicat 主机名该填 localhost 还是 127.0.0.1？
看着一样，但行为可能不同。特别是 MySQL 开启了 skip-name-resolve 时，localhost 会走 socket 连接（绕过 TCP），而 127.0.0.1 强制走 TCP —— 如果你改了 bind-address 却仍用 localhost，就可能掉进这个坑。
- 建议统一用
127.0.0.1测试本地连接，排除 DNS 解析干扰 - 远程连接必须用虚拟机/服务器的真实 IP（如
192.168.176.10），不能填localhost - 如果 Navicat 连接参数里主机名填的是域名，确保该域名能正确解析到目标 IP（可用
ping或nslookup验证）
真正卡住的地方往往不在权限或密码，而在监听地址和防火墙的组合效应——比如你开了 0.0.0.0 却忘了关防火墙，或者关了防火墙但 bind-address 没生效。每次改完配置，务必用 netstat -anptu | grep :3306（Linux）或 netstat -ano | findstr :3306（Windows）确认监听状态已更新，再测试连接。
