Docker Swarm单主机环境下为MySQL添加指定IP的容器用户

我明白你的困扰——在单主机Swarm测试环境下，不想用%通配符把MySQL暴露到公网，却又遇到用服务名web授权无效、收到10.0.0.x访问拒绝的问题。这背后的核心原因是Docker Swarm overlay网络的工作机制：当Web容器连接MySQL时，实际的源IP是容器所在overlay子网的真实IP（比如10.0.0.x），而不是服务名web对应的虚拟IP，MySQL会根据这个真实IP匹配授权规则，所以直接授权user@'web'是不生效的。

下面给你几个安全且可自动实现的解决方案：

方案1：授权Web服务所在的Overlay子网段 #

这是最直接稳定的方法，Swarm的overlay网络会给容器分配固定子网内的IP，授权这个子网段既能限制只有集群内的Web容器访问，又完全不会暴露到公网。

具体步骤： #

1. 确认自定义网络的子网：如果你的Compose里定义了专属的overlay网络（推荐这么做，避免使用默认网络），可以通过命令查看它的子网：

docker network inspect your-overlay-network-name | grep Subnet

比如输出可能是 "Subnet": "10.0.0.0/24"，这就是我们要授权的IP段。

2. 编写MySQL初始化脚本：创建一个init.sql文件，把授权语句写进去，Compose会在MySQL启动时自动执行这个脚本：

-- 创建应用专用用户，仅允许来自10.0.0.0/24子网的访问
CREATE USER 'web_app'@'10.0.0.%' IDENTIFIED BY 'your-strong-password';
-- 授予对应数据库的权限，按需调整权限范围
GRANT SELECT, INSERT, UPDATE, DELETE ON your_target_db.* TO 'web_app'@'10.0.0.%';
FLUSH PRIVILEGES;

如果你的子网是其他段（比如172.18.0.0/24），替换成对应的即可。

3. 在Compose中挂载初始化脚本：确保MySQL服务配置里挂载了这个脚本，示例如下：

services:
  db:
    image: mysql:8.0
    volumes:
      - ./init.sql:/docker-entrypoint-initdb.d/init.sql
    environment:
      MYSQL_ROOT_PASSWORD: your-root-password
      MYSQL_DATABASE: your_target_db
    networks:
      - app-overlay-net
    deploy:
      replicas: 1

  web:
    image: your-web-app-image
    networks:
      - app-overlay-net
    deploy:
      replicas: 1

networks:
  app-overlay-net:
    driver: overlay

方案2：动态获取Web容器IP并授权（适合动态场景） #

如果担心子网变化，或者想更精确地授权当前运行的Web容器IP，可以在MySQL容器启动后，通过脚本动态查询Web服务的容器IP并添加授权。

具体步骤： #

1. 编写动态授权脚本dynamic-grant.sh：

#!/bin/bash
# 等待MySQL完全启动
sleep 15

# 查询Web服务的所有容器真实IP
WEB_IPS=$(docker service inspect --format '{{range .Tasks}}{{.Status.ContainerStatus.ContainerIP}}{{end}}' web | tr '\n' ' ')

# 为每个IP添加授权
for IP in $WEB_IPS; do
  mysql -u root -p"$MYSQL_ROOT_PASSWORD" -e "
    CREATE USER IF NOT EXISTS 'web_app'@'$IP' IDENTIFIED BY 'your-strong-password';
    GRANT SELECT, INSERT, UPDATE, DELETE ON your_target_db.* TO 'web_app'@'$IP';
    FLUSH PRIVILEGES;
  "
done

2. 在Compose中配置脚本执行：需要给MySQL容器挂载Docker socket以获取服务信息，同时确保脚本可执行：

services:
  db:
    image: mysql:8.0
    volumes:
      - ./dynamic-grant.sh:/docker-entrypoint-initdb.d/dynamic-grant.sh
      - /var/run/docker.sock:/var/run/docker.sock
    environment:
      MYSQL_ROOT_PASSWORD: your-root-password
      MYSQL_DATABASE: your_target_db
    networks:
      - app-overlay-net
    deploy:
      replicas: 1
    command: >
      bash -c "
      chmod +x /docker-entrypoint-initdb.d/dynamic-grant.sh &&
      /entrypoint.sh mysqld
      "

注意：这个方法仅适合单主机测试环境，生产环境不建议挂载Docker socket到容器中。

补充：为什么用web作为主机名无效？ #

MySQL的GRANT语句中的主机名，是客户端连接时的源IP反向解析的结果。但在Swarm overlay网络中，Web容器的IP是动态分配的，且Swarm服务发现是通过虚拟IP实现的——当Web容器连接DB时，源IP是容器自身的真实IP（10.0.0.x），而非服务名web对应的虚拟IP，MySQL无法将这个IP解析为web，导致授权规则不匹配。

优先推荐方案1，它简单、稳定且足够安全：只有属于同一个overlay子网的容器才能访问MySQL，公网IP根本不在这个子网范围内，完全不用担心暴露问题。

内容的提问来源于stack exchange，提问作者ktravelet