MySQL 密碼策略驗證失敗解決方案：從「密碼太短」到合規密碼管理實戰

錯誤現場還原

EXEC sp_password 'sa', null, 'sa';
ALTER LOGIN sa ENABLE;
-- 錯誤 15116，級別 16，狀態 1
-- 密碼有效性驗證失敗。該密碼太短，不符合 Windows 策略要求。

關鍵提示：錯誤訊息提及「Windows 策略」，實為 **SQL Server** 環境 (非 MySQL)，但密碼策略原理通用。

根因分析：密碼策略繼承鏈

1. 域策略 > 本地策略：加入域的機器，本地安全策略會被域組策略 (GPO) 覆蓋。
2. 密碼複雜度要求：預設強制 — 長度 ≥ 8、大小寫混合、含數字、含特殊字元、不含用戶名片段。
3. SQL Server 強制遵循：啟用 CHECK_POLICY (預設 ON) 時，建立/修改登入密碼必須滿足 Windows/域策略。

三種解決路徑

方案一：提供符合策略的強密碼 (推薦、最快)

-- 密碼需滿足：≥8字元、大小寫、數字、特殊符號
EXEC sp_password 'sa', 'Uiop_098Mn', 'sa';  -- 舊密碼、新密碼、登入名
ALTER LOGIN sa ENABLE;

適用場景：臨時測試、個人開發環境、已知策略要求的環境。

方案二：暫時關閉密碼策略檢查 (需高權限)

-- 僅影響該登入，不改變系統策略
ALTER LOGIN sa WITH CHECK_POLICY = OFF;
EXEC sp_password 'sa', 'simple123', 'sa';
ALTER LOGIN sa WITH CHECK_POLICY = ON;  -- 完成後建議重新啟用

⚠️ 風險：降低安全基線，審計不合規。生產環境**嚴禁**長期關閉。

方案三：修改域/本地組策略 (根治、需域管權限)

# 域控制器 (GPMC.msc) 或本地 (secpol.msc)
# 路徑：電腦配置 → Windows 設定 → 安全性設定 → 帳戶原則 → 密碼原則
# 修改項目：
#   密碼必須符合複雜度要求 → 已停用
#   最小密碼長度 → 0 或 4
#   強制密碼歷史記錄 → 0
# 執行 gpupdate /force 刷新

適用場景：隔離測試環境、舊系統相容、非生產網域。

MySQL 環境下的對應處理

validate_password 元件 (MySQL 5.6.6+ / 8.0 內建)

-- 查看當前策略
SHOW VARIABLES LIKE 'validate_password%';

-- 臨時降低策略等級 (LOW/MEDIUM/STRONG)
SET GLOBAL validate_password.policy = LOW;
SET GLOBAL validate_password.length = 4;

-- 修改密碼
ALTER USER 'root'@'localhost' IDENTIFIED BY 'short';

-- 恢復策略 (生產環境必做)
SET GLOBAL validate_password.policy = MEDIUM;
SET GLOBAL validate_password.length = 8;

跳過授權表緊急重置 (忘記 root 密碼)

# 1. 停止服務
systemctl stop mysqld

# 2. 跳過授權表啟動
mysqld_safe --skip-grant-tables --skip-networking &

# 3. 無密碼登入重置
mysql -uroot
FLUSH PRIVILEGES;
ALTER USER 'root'@'localhost' IDENTIFIED BY 'NewStrongPass123!';

# 4. 正常重啟
mysqladmin -uroot -p shutdown
systemctl start mysqld

密碼管理最佳實踐清單

常見誤區

• 以為關閉 validate_password 就安全了：實際上只是關閉檢查，弱密碼依然可能被暴力破解。
• 混淆「登入密碼策略」與「用戶密碼雜湊」：前者是建立時驗證，後者是儲存形態 (caching_sha2_password 等)。
• 認為 sa/root 帳號一定要啟用：最佳實踐是**禁用 sa/root**，建立具備 sysadmin 權限的具名帳號。

密碼策略驗證失敗本質上是**安全基線執行**的體現。理解策略繼承機制、掌握多種應對手段、建立自動化密碼治理流程，才是從根本上解決此類問題的正確姿勢。