ThinkPHP数据库配置实战：解决“SQLSTATE[HY000] [1045] Access denied”权限不足的根本原因

遇到SQLSTATE[HY000] [1045] Access denied，很多人第一反应是“密码错了”。但实际情况是，十有八九的问题出在MySQL用户权限绑定的host，和ThinkPHP实际连接时用的host对不上号。比如配置里写着localhost，数据库里却只建了'user'@'127.0.0.1'——这不冲突才怪。

查清 MySQL 里用户到底允许从哪连

别靠猜，直接进 MySQL 跑一句查询：

SELECT User, Host FROM mysql.user WHERE User = 'your_username';

关键就在 Host 这个字段：

• 如果是 localhost，PHP 必须用 host => 'localhost'（走 Unix socket）才有可能连上；
• 如果是 127.0.0.1，PHP 就得用 host => '127.0.0.1'（走 TCP），用 localhost 准失败；
• 如果是 %，表示允许任意 host，生产环境一般不建议这么开；
• 如果压根查不到这个用户，说明要么没建，要么用户名拼错了。

ThinkPHP 配置里的 host 决定走 socket 还是 TCP

host 值可不是随便写的，它直接决定了底层走哪种连接方式，权限校验也得跟着来：

• 'host' => 'localhost'：PDO 默认尝试 Unix socket（尤其在 Linux/macOS 上），此时 MySQL 必须有 'user'@'localhost' 这条记录；
• 'host' => '127.0.0.1'：强制走 TCP，对应的权限记录必须是 'user'@'127.0.0.1'；
• Docker 或远程部署时，host 很可能是容器名（比如 mysql）或内网 IP，那权限记录也得是那个 host；
• 别在 .env 里写 DATABASE_HOST=localhost 然后指望它在容器里也能通——容器里的 localhost 指的是容器自己，不是宿主机上的 MySQL。

授予权限不能只靠 CREATE USER，要用 GRANT 显式授权

建了用户不代表就能连库。即使 'user'@'localhost' 存在，也可能没权限访问指定数据库：

• 先跑 SHOW GRANTS FOR 'user'@'localhost';，看看返回里有没有类似 GRANT ALL PRIVILEGES ON `mydb`.* TO 'user'@'localhost' 的字样；
• 如果没有，补一句：GRANT ALL ON `mydb`.* TO 'user'@'localhost'; FLUSH PRIVILEGES;；
• 注意反引号：数据库名如果含特殊字符或大小写敏感，必须用反引号包住，否则会报错；
• 改了权限之后一定要 FLUSH PRIVILEGES;，否则不会生效。

env() 读不到值会导致 username/password 变成 null

有时候错误信息显示的是 Access denied for user ''@'localhost'，用户名是空的——这就是 env('DATABASE_USERNAME') 返回了 null，PDO 传了个空字符串过去：

• 检查 .env 文件是否真的在项目根目录，且文件权限允许 PHP 进程读取；
• CLI 模式下（比如执行 php think migrate）要确保 thinkEnv::load() 已经被调用，否则 env() 不工作；
• 可以在 config/database.php 里加一行调试日志：file_put_contents('/tmp/db-env.log', print_r($_ENV, true));，确认变量有没有加载成功；
• 别依赖 env() 的 fallback 参数（第二个参数），生产环境必须靠 .env 来覆盖，否则上线就会炸。

最后说一个最容易被忽视的细节：MySQL 的用户权限是靠 host + user 组合键 来区分的。'user'@'localhost' 和 'user'@'127.0.0.1' 是两个完全不同的账户，删错一个、授错一个，都会卡在 1045 上。检查的时候务必把这两个维度都对齐。