必须先确认报错中'user'@'host'是否真实存在于mysql.user表，因MySQL将'root'@'localhost'与'root'@'127.0.0.1'视为完全独立账号；执行SELECT User, Host FROM mysql.user WHERE User='root'核对Host值是否完全匹配，不匹配则需创建对应账号并指定兼容插件。
确认报错里的 'user'@'host' 是否真实存在
MySQL 把 'root'@'localhost' 和 'root'@'127.0.0.1' 当作两个完全独立的账号，哪怕密码一样也不互通。错误信息末尾写的 host，就是你必须对准的目标。
用一个能登录的管理员账号执行：
SELECT User, Host FROM mysql.user WHERE User = 'root';
如果结果里没有和报错中一模一样的 Host 值（比如报错是 'root'@'127.0.0.1'，但查出来只有 'root'@'localhost'），那这个账号就根本不存在，mysql -h 127.0.0.1 -u root -p 必然失败。
- MySQL 8.0+ 初始化后默认只生成
'root'@'localhost'；某些一键安装包或重装过程可能漏掉它 - 若需从本地 TCP 连接（如 PHP 配置
DB_HOST=127.0.0.1），必须显式创建对应账号：CREATE USER 'root'@'127.0.0.1' IDENTIFIED WITH mysql_native_password BY 'your_password'; - 别忘了后续
GRANT ALL PRIVILEGES ON *.* TO 'root'@'127.0.0.1' WITH GRANT OPTION;和FLUSH PRIVILEGES;
检查 authentication plugin 是否兼容客户端
MySQL 8.0 默认用 caching_sha2_password 插件，但 Navicat、旧版 PHP（如 mysqlnd MySQLdb、甚至某些 shell 环境都不支持，会静默降级失败，表现为“密码正确却报 1045”。
进库后查当前插件：
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
SELECT user, host, plugin FROM mysql.user WHERE user = 'root';
如果 plugin 是 caching_sha2_password，且你用的是老客户端，临时切回兼容模式：
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'your_password';
执行后必须立刻跟：
FLUSH PRIVILEGES;
- 云数据库（如阿里云 RDS）通常禁止改插件，此时应升级客户端，而不是硬改服务端
- 不能用
UPDATE mysql.user SET authentication_string = ...—— 字段已废弃，且不会生效 - MySQL 8.0+ 不允许在
GRANT语句里写IDENTIFIED BY，必须拆成CREATE USER+GRANT两步
密码含特殊字符时，命令行传参被 shell 提前解析
Linux/macOS 下，mysqldump -uroot -p'Pass@2024#' 中的 @ 和 # 会被 shell 当作元字符处理，实际传给 MySQL 的密码已损坏。交互式 mysql -u root -p 不受影响，但脚本类工具必踩此坑。
- 验证方法：在命令中显式加引号并转义，例如
mysqldump -uroot -p'Pass\@2024\#' - 更稳妥做法：把密码写进
~/.my.cnf配置文件，避免命令行暴露和 shell 解析问题 - Windows CMD 下虽不解析
@，但%仍会被当作环境变量展开，同样需转义或换配置文件方式
权限修改后没执行 FLUSH PRIVILEGES 导致不生效
这是最常被忽略的一环——尤其在用 ALTER USER 或直接更新 mysql.user 表后，不执行这句，修改根本不会加载到运行时权限系统中。
-
FLUSH PRIVILEGES;不是可选操作，是强制刷新内存中权限缓存的唯一方式 - 用
GRANT创建用户时自动生效，但用ALTER USER或UPDATE表则必须手动刷 - 重启 MySQL 服务不能替代
FLUSH PRIVILEGES，因为权限数据是运行时加载的，不是每次连接都重读表
真正卡住人的地方，往往不是某一步做错了，而是多个条件叠加：比如你确实创建了 'root'@'127.0.0.1'，但插件还是 caching_sha2_password，又用了带 @ 的密码写在脚本里，最后还没刷权限——四层过滤全挡住，报错却只说一句 “Access denied”。盯住错误信息末尾的 'user'@'host'，一层一层对齐，比盲目重置密码快得多。
