在MySQL的权限体系里，一个账号并不是只由用户名决定，而是用户名加host共同构成唯一标识。当我们说“修改特定IP的访问权限”，本质就是调整mysql.user表里某条记录的host列，或者通过授权语句重新定义允许连入的客户端地址。很多连接失败并不是密码错，而是host不匹配，MySQL直接拒绝握手。理解这套机制，才能精准控制哪些机器能访问实例。
MySQL用户与Host权限的底层逻辑
MySQL在身份认证阶段会同时检查连接进来的用户名和来源主机。系统表mysql.user的主键实际上是Host与User的组合，这意味着root@localhost和root@192.168.1.100是两个完全没有关系的账号，各自拥有独立的权限集合。当客户端发起连接，MySQL拿客户端的IP或解析后的主机名去比对user表里所有记录的host字段，匹配成功才进入密码校验环节。
host字段支持精确IP、带掩码的形式以及通配符。百分号%代表任意主机，下划线_匹配单个字符，类似192.168.1.%则表示该网段全部允许。如果同用户名存在多条host记录，MySQL会按最精确的原则选中一条。例如既有%也有192.168.1.50，从后者连入时优先用精确那条，这也常常让人误以为改了某条没生效，其实是匹配到了别的记录。
权限表载入内存后，普通的DML修改不会立刻影响正在运行的连接控制，必须显式通知MySQL重新加载授权表。这也是为什么不少人直接用update改了host却发现远程还是连不上，缺的正是后续的刷新动作。下面的小节会分别给出直接改表和用授权命令两种做法。
直接修改mysql.user表调整特定IP
最直观的办法是操作系统库。先查清楚目标用户当前绑定在哪些host上，确认要改的那条记录。比如想把appuser从只允许本机改为只允许192.168.1.88访问，可以用update语句改写host列，再把权限表刷进内存。
这种方式的优点是精细、能改历史遗留的奇怪host值；缺点是要自己保证user表结构字段正确，且容易漏掉同名用户的其他host记录。修改完务必执行flush privileges，否则只有在下次重启或新建连接缓存失效后才起作用。下面是一段可参考的SQL。
-- 查看当前appuser对应的host select user, host from mysql.user where user = 'appuser'; -- 将原来localhost的记录改为特定IP update mysql.user set host = '192.168.1.88' where user = 'appuser' and host = 'localhost'; -- 刷新权限使修改立即生效 flush privileges;
如果你希望保留原localhost账号，同时新增一个特定IP的账号，那就不要update而是insert，并单独给新记录授权。注意MySQL 8.0之后默认使用了caching_sha2_password插件，老客户端可能不支持，新建时要留意认证插件选择。改表法适合批量整理权限，但日常更推荐用标准授权语句。
使用GRANT语句重新配置Host访问
grant是官方推荐的权限管理方式，它会自动维护mysql.user及关联权限表，并且多数情况下不需要手动flush。要允许特定IP访问某库，只需在语句里写'user'@'ip'即可。如果该组合不存在，MySQL会直接创建。
举例来说，允许192.168.1.88上的appuser只读访问shop库，可以执行授权并指定来源host。相比直接改表，grant语义清晰、不容易写错系统表字段，也方便用show grants回看。但注意grant本身不会删除旧host记录，若想彻底换IP，得先drop user旧组合。
-- 授予特定IP对shop库的查询权限 grant select on shop.* to 'appuser'@'192.168.1.88' identified by 'StrongPass123'; -- 查看该用户权限 show grants for 'appuser'@'192.168.1.88';
在需要对整个网段开放时，可写成'appuser'@'192.168.1.%'，但不要图省事直接用%，那样任何公网机器都能尝试爆破。生产环境应配合防火墙、SSL连接以及密码复杂度策略。另外，修改host权限后已建立的旧连接通常不会被中断，只有新连接才会按新规则校验，这点对不停机变更很关键。
常见故障排查与权限生效验证
改完权限连不上，第一步应确认报错是“Access denied”还是“Unknown MySQL server host”。前者基本是host或密码不对，后者是网络或DNS问题。可以在服务端用select user, host, authentication_string from mysql.user核对，也可以用mysql -u appuser -h 服务端IP -p从目标机器实测。
有时明明update了host却无效，多半是没flush，或者存在另一条更宽泛的%记录让客户端匹配过去了。还有种情况是MySQL开启了skip-name-resolve，此时host里写主机名会失效，必须写IP。用flush hosts还能清理因多次连错被临时屏蔽的客户端缓存。
最后建议把所有账号审计一遍，删除无用host、回收公网%权限，并定期用show processlist观察来源IP是否符合预期。权限管理不是一次性的事，结合备份和业务分离，才能让MySQL既好用又安全。