Kubernetes集群中MySQL容器内部连接被拒绝问题求助

1. 验证用户主机权限匹配度 #

MySQL用户权限与绑定的主机强关联，localhost、127.0.0.1及容器IP对应的权限是独立的。先尝试通过TCP方式连接测试：

mysql -u root -p -h 127.0.0.1

如果连接成功，说明当前用户仅拥有127.0.0.1的访问权限，需补充localhost授权：

GRANT ALL PRIVILEGES ON *.* TO 'root'@'localhost' IDENTIFIED BY '你的密码' WITH GRANT OPTION;
FLUSH PRIVILEGES;

测试场景下也可临时授予全局权限（生产环境不建议）：

GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' IDENTIFIED BY '你的密码' WITH GRANT OPTION;
FLUSH PRIVILEGES;

2. 检查初始化脚本的授权逻辑 #

若部署时使用了ConfigMap挂载的初始化SQL脚本，需确认脚本内是否正确创建了对应主机的用户。比如部分脚本仅创建user@'%'，未配置user@localhost，会导致本地连接失败。

3. 直接验证密码有效性 #

即使已检查Secret，仍可在容器内直接打印环境变量确认密码：

echo $MYSQL_ROOT_PASSWORD

用明文密码直接测试连接，排除Secret挂载或环境变量解析问题：

mysql -u root -p'你的明文密码'

4. 深挖MySQL初始化日志细节 #

Pod日志显示正常启动不代表初始化无异常，过滤关键日志条目排查：

kubectl logs <mysql-pod-name> | grep -i "root\|user\|grant\|password"

重点查看是否存在密码复杂度不匹配、用户创建失败等隐性错误。

5. 排查Socket连接异常 #

默认mysql -u root -p会使用socket连接，若socket文件路径错误或权限异常，会触发类似报错。强制使用TCP连接验证：

mysql -u root -p --protocol=tcp

若连接成功，需检查MySQL配置文件中socket参数的路径，以及容器内对应目录的读写权限。

内容的提问来源于stack exchange，提问作者Thomas van Vliet