在MySQL运维过程中，应用程序抛出Access Denied相关错误是最让人头疼的故障之一。这类错误并不直接指向某行业务代码，而是藏在数据库连接建立阶段的权限校验逻辑里。要彻底解决，必须先理解MySQL在服务端是如何对用户身份和权限做判定的，再顺着错误码提供的线索逐层排查。
一、Access Denied错误码的分类与底层校验机制
MySQL在用户连接时会依次检查多个条件，任何一步不通过都会返回Access Denied，但错误码和补充信息有所不同。最常见的1045错误格式为Access denied for user 'user'@'host' (using password: YES)，它表示用户名、密码或来源主机三者组合未通过验证。而1698错误通常出现在Linux系统使用auth_socket插件的场景，提示Access denied for user 'root'@'localhost'，此时并不是密码错，而是操作系统用户与MySQL用户映射失败。
从底层看，MySQL启动连接后会在mysql.user表中检索客户端提供的用户名和来源主机。host字段支持精确IP、网段和通配符%，但匹配规则是“最具体优先”。例如同时存在'app'@'192.168.1.10'和'app'@'%'，来自该IP的连接只会命中前者。如果前者密码错误或被禁用，就不会回退到%记录，直接报1045。理解这一点能避免很多人误以为“有%就够了”的坑。
另外，密码校验还受mysql.user里的password_expired、account_locked等列影响。即使密码正确，若账号被锁定或密码过期且未重设，依然会拒绝访问。部分发行版默认启用validate_password插件，也会在改密码时间接导致后续连接因策略不符而失败。因此排查时不能只盯密码本身。
二、利用错误日志与命令行快速定位拒绝原因
当应用报Access Denied，第一步应去MySQL服务端错误日志确认详细信息。在配置文件中log_error指定的路径下，能看到类似[Note] Access denied for user 'test'@'10.0.0.5' (using password: YES)的记录。如果这里显示的host和预期客户端IP不一致，往往是应用配置了错误的连接地址或被代理转发。
在命令行用同一账号手动连接可复现问题：mysql -u test -p -h 10.0.0.5。若提示1045，可换用mysql -u test -p -h 127.0.0.1测试，因为localhost在MySQL里默认走socket而非TCP，匹配的是'test'@'localhost'而不是IP记录。很多人在这个细节上浪费数小时。
还可以用跳过权限表方式临时排查：在配置文件加skip-grant-tables重启，此时无需密码进库，直接查mysql.user确认记录是否存在。但生产环境务必记得改完马上移除该参数并重启，否则全库无鉴权极其危险。以下为查看用户host与密码状态的语句：
SELECT user, host, authentication_string, account_locked, password_expired FROM mysql.user WHERE user = 'test';
通过上述输出，能直观看到该用户是否被锁、密码是否过期，以及host是否包含客户端来源。若host为localhost但应用连的是容器映射出的IP，就需要新建对应host授权。
三、授权修复与常见误区实践对比
确认问题后，常见修复是重建用户并授权。但要注意MySQL 8.0已废弃在GRANT中隐式建用户，必须先CREATE USER再GRANT。示例如下：
CREATE USER 'app'@'192.168.1.%' IDENTIFIED BY 'StrongPass#2024'; GRANT SELECT, INSERT ON shop.* TO 'app'@'192.168.1.%'; FLUSH PRIVILEGES;
这里用网段通配符比单IP灵活，但也不能图省事直接用%，否则暴露在公网风险极高。另一个误区是改完mysql.user后用UPDATE语句手动改密码却不执行FLUSH PRIVILEGES，导致权限表内存未 reload，连接依旧失败。还有人用SET PASSWORD后忘了新密码策略要求大小写特殊字符，应用配置没同步就反复报1045。
对于1698错误，正确做法是确认插件：SELECT user, plugin FROM mysql.user WHERE user='root';若plugin为auth_socket，要么改用系统root执行mysql命令，要么将其改为mysql_native_password并设密。示例如下：
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'NewRootPass'; FLUSH PRIVILEGES;
对比来看，1045偏密码或host不对，1698偏系统用户映射，二者修复路径完全不同。理清差异才能避免乱试命令把权限表搞乱。
四、生产环境权限最小化与监控建议
减少Access Denied故障的根本方法是权限最小化。为每个应用建独立账号，host限定具体应用服务器IP，库级授权而非全局ALL。这样即使某账号密码泄露，影响面也可控，且排错时用户表清晰。
同时建议在监控中采集错误日志里的Access denied频次。若某账号短时间内大量1045，可能是密码被暴力破解或配置错误。可结合performance_schema中的host_cache表观察来源IP是否被阻。以下查询可看缓存中的失败连接：
SELECT ip, sum_connect_errors, count_authentication_errors FROM performance_schema.host_cache;
当sum_connect_errors超过max_connect_errors阈值，该IP会被主动阻止，表现为连接秒拒而非密码错。此时需执行FLUSH HOSTS清除缓存。把这项检查和权限审计纳入日常巡检，能大幅降低突发权限报错的概率。
mysqlAccess_Denied用户权限修改时间：2026-08-16 04:06:34