当应用程序连接MySQL缓慢、执行SQL异常或出现认证错误时，仅靠数据库日志往往难以定位网络层面的问题。通过对MySQL通信协议进行分析，利用抓包工具截取客户端与服务器之间的数据包，可以清晰还原认证握手、命令执行及结果返回的全过程。
MySQL协议的基础交互流程
MySQL采用基于TCP的协议，默认端口3306。一次完整的交互包括三个阶段：TCP三次握手建立连接；服务器发送初始握手包（包含协议版本、连接ID、挑战随机数等）；客户端响应认证包（包含用户名、加密后的密码）；服务器返回认证结果（成功或错误包）。认证通过后，客户端发送查询命令（COM_QUERY），服务器返回结果集或影响行数。
抓包准备与过滤规则
在客户端或服务器端使用Wireshark或tcpdump抓取流量。为了减少无关数据，设置抓包过滤条件：tcp port 3306。如果需要同时捕获MySQL认证包，建议将客户端和服务器之间的所有包都保存下来。使用Wireshark打开抓包文件后，协议分析的第一步是应用显示过滤器mysql，只留下MySQL协议相关的包。
认证交互过程的解析
找到TCP三次握手后的第一个数据包。服务器发往客户端的包，在Wireshark中显示为“MySQL Protocol”，类型为“Server Greeting”。展开细节可看到MySQL版本号（如8.0.32）、连接ID、以及用于密码加密的salt。客户端随后发送的“Login Request”包中包含用户名、加密后的密码（使用sha2(密码+salt)）以及默认数据库名。如果认证失败，服务器会返回“Error”包，包含错误码和描述（如“Access denied for user”）。通过协议分析，可以确认是用户名错误、密码错误还是客户端IP未授权。
SQL执行过程的包序列
认证成功后，客户端发送“COM_QUERY”命令，在Wireshark的MySQL协议树中能看到完整的SQL语句（明文）。服务器可能返回多个包：对于SELECT查询，首先返回“Result Set Header”包（含字段数量），接着是一个或多个“Field”包（列定义），然后是“Row Data”包（每行记录），最后是“EOF”包。对于UPDATE/INSERT，返回“OK”包，包含受影响行数和最后插入ID。
常见问题定位
利用协议分析，可以解决以下典型问题：连接超时——查看TCP握手是否完成，可能是防火墙阻断3306端口；查询慢——从发送COM_QUERY到收到第一个OK包的时间差，结合服务器端慢查询日志分析；返回数据乱码——检查字符集设置，抓包中可见服务器发送的字符集编号与客户端预期是否一致；批量插入被截断——观察数据包长度，可能超过max_allowed_packet限制。
实战案例：间歇性认证失败
某应用偶尔反馈“Access denied”，重启应用后恢复。抓包后发现，在认证失败的连接中，客户端发送的密码加密salt与服务器握手的salt不一致——原因是连接池复用了旧连接，使用了过期的salt。通过协议分析定位后，修改连接池配置，每次认证重新读取salt解决。
MySQL协议分析是数据库排障的高级技能。通过抓包直观看到认证和SQL交互的每一帧数据，尤其适合排查网络层、连接池以及客户端驱动导致的隐蔽问题。掌握Wireshark的MySQL解码器和过滤语法，能让数据库问题的定位时间从小时级缩短到分钟级。
微信公众号