在Linux环境下为MySQL设置密码是数据库安全管理的基础操作，但实际操作中涉及多种场景和细节，需要系统性地掌握，无论是全新安装的MySQL实例，还是已运行多年的生产环境,密码管理策略都直接影响数据安全等级。
初始安装后的密码设置
MySQL 5.7及更高版本在安装时会生成临时密码，存储于错误日志文件中,通过以下命令定位该密码：
sudo grep 'temporary password' /var/log/mysql/error.log
获取临时密码后，必须使用ALTER USER命令修改，否则无法执行任何操作，这是MySQL的安全机制设计,强制用户在首次登录时更新凭证。
对于MySQL 8.0，默认使用caching_sha2_password认证插件，部分旧版客户端可能不兼容，若遇到连接问题,可临时调整认证方式：
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY '新密码';
root密码遗忘的恢复方案
生产环境中root密码遗忘是常见故障场景，通过跳过权限表的方式重置密码需要谨慎操作,步骤如下：
- 停止MySQL服务：
sudo systemctl stop mysql - 以安全模式启动：
sudo mysqld_safe --skip-grant-tables & - 无密码登录后执行更新操作
经验案例：某电商平台在双十一前夕遭遇root密码丢失，DBA按常规步骤重置后，发现应用程序连接池全部报错，排查发现是密码复杂度策略导致——新密码未达到validate_password插件的要求（长度8位以上、包含大小写和特殊字符），最终通过临时禁用该插件完成紧急恢复，事后建立了密码管理台账和双人复核机制，这个案例说明，密码重置不仅要恢复访问,还需考虑与现有策略的兼容性。
密码策略的精细化配置
MySQL提供多层次的密码安全控制,通过系统变量实现：
| 配置项 | 作用说明 | 推荐值 |
|---|---|---|
| validate_password.policy | 密码强度策略等级 | MEDIUM或STRONG |
| validate_password.length | 最小密码长度 | 12 |
| validate_password.mixed_case_count | 大小写字符最少数量 | 1 |
| validate_password.number_count | 数字最少数量 | 1 |
| validate_password.special_char_count | 特殊字符最少数量 | 1 |
查看当前密码策略状态的命令：
SHOW VARIABLES LIKE 'validate_password%';
用户级密码管理实践
除root账户外，业务账户的密码管理同样关键,创建应用专用账户时应遵循最小权限原则：
CREATE USER 'app_readonly'@'10.0.%.%' IDENTIFIED BY '复杂密码'; GRANT SELECT ON app_database.* TO 'app_readonly'@'10.0.%.%';
密码过期策略可通过全局变量或用户级设置实现：
-全局设置90天强制更换 SET GLOBAL default_password_lifetime = 90; -单用户设置 ALTER USER 'app_user'@'%' PASSWORD EXPIRE INTERVAL 60 DAY;
密码存储与传输安全
MySQL 8.0默认启用SSL连接，但需确认证书配置有效,检查当前连接是否加密的命令：
SHOW STATUS LIKE 'Ssl_cipher';
若返回空值，说明连接未加密，存在中间人攻击风险，应在my.cnf中强制SSL：
[mysqld] require_secure_transport = ON
经验案例：某金融系统审计时发现，虽然数据库配置了SSL，但应用连接字符串未启用SSL参数，导致实际数据传输仍为明文，问题根源在于开发环境与生产环境的配置差异——开发环境为简化调试关闭了SSL验证，而生产环境部署时未修正，此后该团队建立了配置清单检查表,将SSL参数纳入部署必检项。
密码审计与监控
启用general_log或审计插件记录密码变更操作，但需注意日志本身的访问控制,更轻量的方案是通过performance_schema监控失败登录：
SELECT * FROM performance_schema.host_cache WHERE SUM_CONNECT_ERRORS > 0;
结合Linux层面的fail2ban工具,可对暴力破解行为进行IP封禁。
FAQs
Q1：修改密码后应用程序无法连接，如何快速定位原因？
首先检查错误日志中的认证失败信息，区分是密码错误还是权限问题，使用mysql -u用户名 -p -h主机地址手动测试连接，排除网络因素，若确认密码正确，检查用户的主机限制（如’user’@’localhost’与’user’@’%’是不同记录）,以及认证插件类型是否匹配客户端驱动版本。
Q2：如何在不重启MySQL的情况下强制所有用户修改密码？
执行ALTER USER '用户名'@'主机' PASSWORD EXPIRE;可立即使指定用户密码过期，下次登录时强制修改，对批量用户，可结合information_schema.user表生成批量语句，注意此操作对当前已建立的连接不生效,需配合连接池刷新或应用重启。
国内权威文献来源
《MySQL技术内幕：InnoDB存储引擎》姜承尧著，机械工业出版社；中国信息安全测评中心《数据库系统安全技术要求》（GB/T 20273-2019）；阿里云数据库团队《MySQL实战45讲》极客时间专栏；华为云《云数据库MySQL用户指南》技术文档；清华大学出版社《数据库系统概论（第5版）》王珊、萨师煊著；国家信息技术安全研究中心《MySQL数据库安全配置基线》行业规范。
