连接配置必须按环境隔离，不能复用同一连接；应为每套环境单独新建连接并命名带明确前缀，启用只读模式、颜色标识、驱动版本匹配及安全凭证管理。
连接配置必须按环境隔离，不能复用同一连接
很多人图省事，建一个 MySQL 连接后反复改 host/port/username，再点测试——这在开发库上可能跑得通，但一旦切到测试或生产环境，轻则查不到数据，重则因账号权限不足触发 Access denied 或 SELECT command denied 错误。DBeaver 的连接是**状态独立、参数固化**的，每个连接保存完整的 JDBC URL、驱动版本、用户凭证和高级参数。你改一次地址，不等于它自动适配新环境的权限模型。
实操建议：
- 为每套环境单独新建连接，命名带明确前缀，比如
prod_mysql_8021、test_pg_5432、dev_oracle_1521 - 右键连接 → 编辑连接 → 在
连接设置标签页勾选只读模式（对只读账号强制限制，防止误执行UPDATE） - 用连接图标颜色区分环境：右键连接 →
编辑连接→外观→ 设置背景色（如生产用红色、测试用黄色、开发用绿色）
只读账号连不上？检查角色、数据库名和 authenticationDatabase
特别是连 MongoDB、Doris、Palo 这类支持多租户或分库认证的系统时，用户名 和 密码 正确 ≠ 能连上。常见失败原因是：账号创建在 admin 库，但 DBeaver 默认把 authenticationDatabase 当成当前连接的数据库名去校验。
例如 Doris/Palo 场景：
- 管理员账号
admin是在admin库下创建的，DBeaver 连接时必须显式指定authenticationDatabase=admin - 普通只读账号
report_reader若是在reporting库下创建，则连接时数据库字段填reporting，同时authenticationDatabase也得填reporting - MySQL 中若账号是
'user'@'%'但没授权SELECT权限到目标库，会报ERROR 1044 (42000): Access denied for user
解决路径：进 DBeaver 连接编辑页 → 驱动属性 标签 → 手动添加键值对，比如 authenticationDatabase=admin（MongoDB/Doris）、allowPublicKeyRetrieval=true（MySQL 8.0+ SSL 场景）
驱动版本错配会导致权限字段识别失败
不是所有“连得上”就代表权限正常。我遇到过 PostgreSQL 12 上用 pgjdbc 42.2.5 驱动连只读账号，结果 pg_catalog 表里某些系统视图返回空，导致 DBeaver 元数据加载失败、表结构打不开——本质是旧驱动不识别新服务端的权限字段协议。反过来，用太新的驱动连老 Oracle 11g，也会在登录阶段卡住或抛出 ORA-1017。
关键动作：
- 进
数据库→驱动管理器→ 找到对应数据库类型 → 点击编辑驱动→ 查看并锁定版本号 - MySQL 推荐用与服务端大版本一致的驱动：
MySQL 5.7 → mysql-connector-java 5.1.x；MySQL 8.0+ → mysql-connector-java 8.0.x - PostgreSQL 推荐
42.6.x（兼容 9.6–16），避免用42.2.x连 14+ 版本
堡垒机或代理环境下，账号密码不能明文存配置
当通过 JumpServer、阿里云 DMS、腾讯云 DBone 等堡垒机中转连接数据库时，DBeaver 会收到临时生成的一次性账号密码（如 jump_abc123 + 随机串）。这类凭证有效期短、不可复用，且明文存在本地配置里有泄露风险。
安全做法：
- 禁用连接的
保存密码选项（编辑连接 →连接设置→ 取消勾选保存密码） - 启用
使用密钥文件或使用外部凭证提供者（需配合 JumpServer 客户端插件） - 对敏感环境连接，额外启用
连接前执行脚本（如调用 Vault CLI 获取动态凭据）
真正容易被忽略的是：堡垒机下发的临时账号往往只具备 session 级权限，不支持 SHOW PROCESSLIST 或 information_schema 全量查询——这意味着 DBeaver 的会话监控、锁分析、ER 图生成功能会失效，不是工具问题，而是权限边界本身就不允许。
