MySQL用户账号的host字段用于匹配客户端声明的主机名或IP，非IP列表；应填具体IP、网段通配符（如’192.168.1.%’）、域名模式（如’%.example.com’）、’localhost’或’%’，生产禁用’%’。
MySQL 用户账号的 host 字段到底填什么
MySQL 的权限控制核心在于 user 表里的 host 字段，它不是“允许访问的 IP 列表”，而是用于**匹配客户端连接时声明的主机名或 IP 地址**。填错会导致权限不生效或过度开放。
-
'192.168.1.100'：只允许该 IP 直连（IPv4） -
'192.168.1.%'：匹配 192.168.1.0/24 网段（注意不是 CIDR，% 是通配符，不能跨字节） -
'%.example.com'：匹配任意子域名（需 DNS 可解析，且客户端未用 IP 连接） -
'localhost'：仅限 Unix socket 或 127.0.0.1（取决于 MySQL 配置），和'127.0.0.1'是两个不同账号 -
'%'：允许任意主机连接（含公网）——生产环境禁止直接使用
创建带 IP 限制的用户要分两步走
不能只靠 CREATE USER 一步到位，必须显式指定 host 并授权，否则默认 host 是 '%'，等于放行所有来源。
正确做法：
CREATE USER 'app_user'@'10.20.30.40' IDENTIFIED BY 'strong_pass'; GRANT SELECT, INSERT ON mydb.orders TO 'app_user'@'10.20.30.40';
常见错误：
- 执行
CREATE USER 'app_user'@'%' IDENTIFIED BY '...';后再GRANT ... TO 'app_user'@'10.20.30.40'—— 权限不会自动绑定到新 host，MySQL 会报错 “no such user” - 忘记
FLUSH PRIVILEGES;：修改mysql.user表后才需要；但用CREATE USER/GRANT语句操作，权限立即生效，无需刷新
如何验证当前连接匹配的是哪个账号
登录后执行 SELECT USER(), CURRENT_USER();：
-
USER()返回客户端声明的身份（如[email protected]） -
CURRENT_USER()返回实际匹配的权限账号（如[email protected]）
如果两者不一致，说明你连进去了，但没走预期的权限规则——很可能是 host 匹配失败，降级到了更宽泛的账号（比如 'app_user'@'%'），或者 DNS 解析把 IP 转成了 hostname 导致匹配偏差。
