通过MySQL用户权限绑定特定IP，如'username'@'192.168.1.100'实现基础白名单；2. 使用宿主机防火墙（如iptables）限制3306端口访问来源；3. 在云平台配置安全组规则，仅允许可信IP访问数据库端口；4. 结合跳板机或代理间接访问，增强安全性。需多层防护结合使用。
在使用 MySQL 镜像（如 Docker 部署的 MySQL）时，若要限制访问 IP，实现 IP 白名单功能，不能仅依赖镜像本身配置，因为 MySQL 原生不直接支持通过配置文件按 IP 设置白名单。但可以通过以下几种方式结合实现访问控制。
1. 使用 MySQL 用户权限绑定特定 IP
MySQL 支持在创建用户时指定允许连接的主机 IP，这是最基础的白名单机制。
示例：登录 MySQL 后执行：
CREATE USER 'myuser'@'192.168.1.100' IDENTIFIED BY 'mypassword'; GRANT SELECT, INSERT ON mydb.* TO 'myuser'@'192.168.1.100'; FLUSH PRIVILEGES;
说明： 上述语句只允许来自 192.168.1.100 的连接。你也可以使用子网形式，如 'myuser'@'192.168.1.%' 允许整个网段，但更安全的做法是精确到单个 IP。
2. 配置防火墙（推荐用于 Docker 环境）
如果你使用的是 Docker 运行 MySQL 镜像，可以通过宿主机防火墙（如 iptables 或 firewalld）限制访问容器端口的源 IP。
使用 iptables 示例：
iptables -A INPUT -p tcp --dport 3306 -s 192.168.1.100 -j ACCEPT iptables -A INPUT -p tcp --dport 3306 -j DROP
这表示只允许来自 192.168.1.100 的访问 MySQL 默认端口（3306），其他全部拒绝。
Docker 运行时限制： 启动容器时不映射端口到所有接口，而是绑定到内网 IP 或使用自定义网络。
docker run -d -p 192.168.1.10:3306:3306 --name mysql-server -e MYSQL_ROOT_PASSWORD=secret mysql:8.0
这样只有能访问该 IP 的客户端才能连接。
3. 使用云平台安全组或 VPC 策略
如果你部署在阿里云、腾讯云、AWS 等平台，建议使用安全组设置入站规则，只放行指定 IP 访问 3306 端口。
操作步骤（通用）：
- 进入云控制台安全组配置
- 添加入站规则：协议 TCP，端口 3306，源 IP 填写允许的 IP 地址（如 1.2.3.4/32）
- 删除或拒绝其他来源的 3306 访问
4. 结合应用层代理或跳板机
更安全的做法是不让 MySQL 直接暴露在网络中。可通过 SSH 隧道、堡垒机或反向代理方式访问数据库，间接实现 IP 控制。
例如：只允许跳板机连接 MySQL，而跳板机本身设置了 IP 白名单。
基本上就这些方法。单纯靠 MySQL 配置无法完全限制 IP，必须结合操作系统防火墙、网络策略或云平台安全组才能真正实现 IP 白名单访问控制。安全起见，建议多层防护。
