使用Node.js连接远程MySQL报ER_ACCESS_DENIED_ERROR权限错误求助

当已创建数据库访问用户、并授予全量操作权限后仍触发ER_ACCESS_DENIED_ERROR报错，核心是MySQL服务端的连接身份校验未匹配到合法授权条目，可按以下优先级逐一排查：

环境变量取值有效性校验 #

• 排查是否存在配置加载时序问题：很多项目会提前引入mysql模块，再加载dotenv环境配置，最终导致读取到空值连接数据库。可在连接初始化逻辑最前置位置加入打印逻辑，确认实际传入的连接参数是否和预期一致：

// 必须放在所有require逻辑的最顶部
require('dotenv').config()
// 打印实际读取到的配置值
console.log('连接参数核对：', {
  host: process.env.SQL_HOST,
  user: process.env.SQL_USER,
  password: process.env.SQL_PASSWORD,
  database: process.env.SQL_DATABASE
})

• 核对容易遗漏的细节：密码是否包含特殊字符被shell或.env解析逻辑截断、配置值是否带了多余的首尾空格、数据库名是否和实际存在的库名完全一致。
• 补充连接参数的完整性：mysql.createConnection默认使用3306端口，如果远程MySQL服务实际运行在非默认端口，需要在配置中显式传入port参数，避免端口不匹配触发校验失败。

授权条目匹配性校验 #

• 登录MySQL服务端，查询目标用户的允许访问来源范围：

-- 将下方语句中的用户名替换为实际连接使用的SQL_USER值
SELECT user, host FROM mysql.user WHERE user = '目标用户名';

• 若查询结果中对应用户的允许来源为localhost、127.0.0.1或未覆盖你运行Node.js服务的出口IP，需要补充对应授权条目：

-- 允许任意IP连接的授权示例，生产环境可将%替换为固定IP网段
CREATE USER '目标用户名'@'%' IDENTIFIED BY '对应连接密码';
GRANT ALL PRIVILEGES ON *.* TO '目标用户名'@'%' WITH GRANT OPTION;
-- 刷新生效权限
FLUSH PRIVILEGES;

注意：生产环境不建议直接使用%作为授权host范围，应根据实际服务IP收敛访问范围，降低数据库被暴力破解的风险。

• 如果使用云厂商托管的MySQL实例（如RDS、云数据库），还需要额外核对控制台侧的账号白名单、安全组规则是否放行当前Node.js服务的出口IP，仅修改数据库内部权限无法覆盖云平台侧的访问控制拦截。

客户端兼容性校验 #

• 你当前使用的mysqlnpm包对MySQL 8.0默认的caching_sha2_password认证插件兼容度较低，即使权限、密码完全正确，也可能触发访问拒绝。可登录MySQL服务端查询目标用户的认证插件类型：

SELECT user, host, plugin FROM mysql.user WHERE user = '目标用户名';

• 如果插件值为caching_sha2_password，可给该用户切换兼容旧客户端的认证模式：

ALTER USER '目标用户名'@'%' IDENTIFIED WITH mysql_native_password BY '对应连接密码';
FLUSH PRIVILEGES;

• 长期优化建议：替换为维护更活跃的mysql2客户端库，其对MySQL 8.0的认证协议支持更完善，可减少这类隐性兼容问题。

配置字段合法性校验 #

• 核对SQL_HOST环境变量的取值是否混入了连接串协议头（如写成mysql://xxx.xxx.xxx.xxx），这类非法主机名传入连接配置时，会被MySQL服务端识别为无效连接来源，直接返回权限拒绝。
• 核对是否存在多用户重名问题：MySQL的授权条目是用户名+来源IP的组合判定，若存在同用户名不同host的多条记录，服务端会按匹配优先级返回拒绝，容易出现配置混乱。

内容的提问来源于stack exchange，提问作者Rehaan Mazid