无法通过Workbench连接AWS RDS MySQL实例，凭证正确仍报错如何解决？

你收到的报错如下：

Failed to Connect to MySQL at (my endpoint URL) with user (my master user)

在确认凭证正确的前提下，按照以下优先级排查：

1. 网络连通性校验 #

• 确认RDS实例的公开访问权限配置：如果Node服务部署在AWS VPC外部，必须开启RDS的公网访问开关，否则仅允许同VPC内资源访问
• 检查RDS关联安全组的入站规则：必须放行Node服务所在IP的3306端口（MySQL默认端口），临时验证可以先放开0.0.0.0/0，确认是安全组问题后再收窄权限范围
• 用本地MySQL客户端直接测试连接：执行命令 mysql -h <RDS实例端点> -u <主用户名> -p，输入密码后能正常登录说明网络层面无问题，问题出在Node服务配置侧
• 如果Node服务部署在AWS的EC2/ECS/Lambda等资源上，确认资源与RDS在同一个VPC，且资源对应的安全组已经放开到RDS 3306端口的出站规则

2. RDS实例与账号权限校验 #

• 确认RDS实例处于可用状态，排除实例正在重启、配置变更、存储扩容等不可用场景
• 检查用户名、密码是否包含特殊字符：如果ORM配置未做转义处理，特殊字符会被解析错误，建议配置项里的账号密码统一用引号包裹
• 验证账号的远程访问权限：本地登录MySQL后执行 SHOW GRANTS FOR '<你的主用户名>'@'%';，确认账号允许从你的访问IP登录，且具备建表等必要权限
• 确认RDS未开启IAM身份验证：如果开启了IAM验证，单纯用账号密码无法登录，需要关闭IAM验证或者生成对应的登录令牌用于鉴权

3. Node服务与ORM配置校验 #

• 确认ORM配置的端口号和RDS控制台配置一致，不要默认填3306，如果你自定义过RDS的端口需要同步修改
• 检查SSL连接配置：RDS MySQL默认强制SSL连接的场景下，需要在ORM配置中增加SSL相关参数，以Sequelize为例需要添加配置：dialectOptions: {ssl: {rejectUnauthorized: true}}，未配置SSL会直接被拒绝连接
• 核对RDS端点拼写：确认配置里的端点没有多余空格、没有误加https://前缀、没有重复拼接端口号这类低级错误
• 开启ORM的debug日志，打印运行时实际读取的连接配置，确认和你写的配置一致，排除环境变量读取错误、配置覆盖等问题

4. 边缘场景排查 #

• 刚创建的RDS实例需要等待5-10分钟完全启动后再尝试连接，刚创建完成的实例短时间内可能无法响应连接请求
• 检查Node服务所在网络的出站规则：部分公司内网、公共网络会封禁3306等常用数据库端口的出站请求，可以切换手机热点测试验证
• 确认VPC网络ACL没有拦截对应IP的访问请求，排除ACL规则限制的可能

内容的提问来源于stack exchange，提问作者Khalid Almubarak