129 Admin：允许所有公网 IP 连接生产 MySQL 业务账号

背景与目标

本地 Admin 的公网出口 IP 发生变化后，服务器原 /32 白名单会丢弃连接， run_admin.bat 在 5 秒连接超时后退出。项目负责人明确授权生产 MySQL 3307 接受所有公网来源，同时继续限制业务账号、数据库范围和 TLS。

在 INPUT 链的 3307 DROP 前增加全来源 NEW 连接 ACCEPT，并保存到 /etc/sysconfig/iptables；变更前规则备份为 /root/iptables-before-mysql-public-20260811T0900.rules。
新增 buy@'%'，克隆现有本机 buy 账号的密码哈希，权限限定为 autobuy.*，并设置 REQUIRE SSL；root 和其他数据库账号保持不变。
因 MySQL 8.4 管理密码的既有保存副本均已失效，未重置 root 密码。改用一次性 init-file 完成账号 DDL，只重启 MySQL 一次；启动后立即删除初始化文件和配置项。 MySQL 配置备份为 /root/mysql84.cnf-before-buy-public-20260811T0912。
更新 Admin 规则、配置示例、上手指南和安全基线，记录本次经用户批准的全网来源例外；root 仅本机、TLS 和库级权限仍是硬性条件。

验收标准	结果
公网 TCP 3307 连续连接稳定	通过，5/5 成功
公网登录身份为 `buy@%`	通过
账号权限只作用于 `autobuy.*`	通过
公网连接强制 SSL，关闭 TLS 会被拒绝	通过
Go Admin 使用 `verify_ca` 完成连接、schema 自检和页面冒烟	通过
root 未开放公网登录	通过，未修改 root 账号
防火墙规则已持久化且可解析	通过，`iptables-restore --test` 成功
MySQL、Admin、Nginx、cmhub 和图片 worker 无回归	通过，worker 66/66 active
项目规则和基线文档与用户授权一致	通过

执行的命令：重复 TCP 探测；MySQL CLI 分别使用 VERIFY_CA 和 DISABLED； GOTOOLCHAIN=go1.23.0 go test . -run '公网MySQLTLS' -v -count=1； GOTOOLCHAIN=go1.23.0 go test ./repository -run '公网TLS只读冒烟' -v -count=1；服务器执行 systemd、HTTP、iptables 持久化和 MySQL 日志检查。
结果：公网 TLS cipher 为 ECDHE-RSA-AES128-GCM-SHA256；页面冒烟返回 303；明文连接返回 1045；线上 Admin 和 cmhub HTTPS 均返回 200，MySQL 重启后无严重日志。
没验证到的部分：未执行防火墙回退演练；未重启整台服务器验证开机加载，但已验证 /etc/sysconfig/iptables 内容和 iptables-restore --test。