能否限制MySQL的IP与端口仅允许公共API访问，且不影响客户端使用？

1. 能否限制MySQL仅允许公共API访问？ #

完全可以，这是提升数据库安全性的核心操作，可通过三层配置实现：

• MySQL权限控制：替换原有的通配符授权规则。比如把GRANT ALL PRIVILEGES ON *.* TO 'db_user'@'%';修改为仅允许API服务器IP访问：GRANT ALL PRIVILEGES ON *.* TO 'db_user'@'192.168.1.100';（将192.168.1.100替换为你的API服务器实际IP）。若API服务器是动态IP，可改用子网段授权（如'192.168.1.%'），或结合SSL证书验证进一步加固。
• 防火墙/安全组限制：在服务器本地防火墙（iptables、ufw等）或云服务商安全组中，仅将MySQL默认端口3306（或自定义端口）开放给API服务器IP，拒绝所有其他IP的访问请求。这是兜底的安全屏障，即便MySQL权限配置出现疏漏，也能阻止非法连接。
• MySQL监听地址配置：修改MySQL配置文件（my.cnf或my.ini）中的bind-address参数，从默认的0.0.0.0（监听所有网卡）改为API服务器可访问的内网IP；若API与MySQL部署在同一服务器，直接设置为127.0.0.1（仅本地访问），彻底关闭对外的公网监听。

2. 数据库识别的是哪个IP？ #

当API用户发起查询请求时，MySQL数据库识别的是API服务器的IP。
整个请求链路为：客户端设备 → 公共API服务器 → MySQL数据库。客户端不会直接与MySQL建立连接，而是通过API服务器作为中间代理发起数据库请求，因此MySQL的连接日志里只会显示API服务器的IP地址，无法直接获取客户端设备的IP。若需记录客户端IP，需在API层将客户端IP作为请求参数或请求头传递，再在业务逻辑中写入数据库日志。

内容的提问来源于stack exchange，提问作者Nii