MySQL用户host部分在创建时即固定，决定允许连接的IP，不可用ALTER USER修改，需删旧建新；防火墙与bind-address构成网络层防护，与MySQL逻辑层host限制叠加生效。
创建用户时直接指定允许连接的IP地址
MySQL 用户账号由 username@host 组成，其中 host 部分决定该用户能从哪些主机连接。这不是事后配置项，而是创建时就定死的权限边界。
-
host填'192.168.1.100'：仅允许该IP连接 - 填
'192.168.1.%'：匹配 C 类网段内任意 IP（注意是 MySQL 自己的通配符规则，不是正则） - 填
'localhost'：仅限本机 Unix socket 或 127.0.0.1（取决于连接方式），和'127.0.0.1'实际行为不同 - 填
'%'：允许任意 IP 连接（最危险，生产环境应避免）
示例：
CREATE USER 'appuser'@'10.20.30.40' IDENTIFIED BY 'strongpass123';
这条命令生成的用户，即使你后续执行 GRANT ALL ON *.* TO 'appuser'@'%'，也不会生效——因为 'appuser'@'%' 是另一个完全不同的账号。
修改已有用户的 host 部分不能用 ALTER USER
ALTER USER 无法修改用户名或 host，它只改密码、过期策略、资源限制等。想换绑定 IP，必须删旧建新。
- 先查清楚当前账号全名：
SELECT User, Host FROM mysql.user WHERE User = 'appuser';
- 删除旧账号：
DROP USER 'appuser'@'%' ;
- 再重建带限定 IP 的账号：
CREATE USER 'appuser'@'10.20.30.40' IDENTIFIED BY 'newpass';
- 最后赋权：
GRANT SELECT, INSERT ON mydb.* TO 'appuser'@'10.20.30.40';
- 别忘了
FLUSH PRIVILEGES;（虽然 8.0+ 多数情况自动刷新，但显式执行更稳妥）
漏掉 DROP USER 直接 CREATE USER 会报错 ERROR 1396 (HY000): Operation CREATE USER failed for 'appuser'@'%'，因为同名账号已存在。
防火墙与 bind-address 是双重保险，但作用层次不同
MySQL 层面的 host 限制是认证前检查，属于逻辑访问控制；而系统层防火墙（如 iptables / ufw）和 MySQL 的 bind-address 配置是网络层拦截。
