MySQL Root 密碼遺失/被竄改緊急恢複指南：skip-grant-tables + 數據目錄重建雙方案

場景定義

• Root 密碼遺忘、被駭客修改、mysql.user 表損壞
• 生產環境，**不可重裝**、需保留業務數據、最小化停機

方案一：skip-grant-tables 熱修復 (推薦、最快、數據零損失)

1. 編輯 my.cnf ([mysqld] 區段) 添加：

skip-grant-tables
skip-networking   # 可選：臨時阻斷網絡連接，防併發修改

2. 重啟 MySQL：systemctl restart mysqld
3. 無密碼直連：mysql -u root
4. 修復密碼 (5.7.6+ / 8.0)：

FLUSH PRIVILEGES;  -- 必須先執行，刷新 skip-grant-tables 狀態
ALTER USER 'root'@'localhost' IDENTIFIED BY 'NewStrongPass123!';
-- 或 UPDATE mysql.user SET authentication_string=PASSWORD('NewPass') WHERE User='root' AND Host='localhost'; FLUSH PRIVILEGES; (舊版)

5. 移除 skip-grant-tables、skip-networking，重啟驗證新密碼

方案二：數據目錄重建 (極端情況：系統表損壞、無法啟動)

1. 備份原 data 目錄**：mv /var/lib/mysql /var/lib/mysql.bak_$(date +%F)
2. 初始化新數據目錄**：

mysqld --initialize-insecure --datadir=/var/lib/mysql --user=mysql
# 生成隨機 root 密碼 (insecure) 或臨時密碼 (secure)，記錄日誌

3. 啟動並修改密碼**：同方案一步驟 3-4
4. 遷移業務數據**：

# 方法 A：表級拷貝 (MyISAM/同版本 InnoDB)
cp -r /var/lib/mysql.bak/dbname /var/lib/mysql/
chown -R mysql:mysql /var/lib/mysql/dbname

# 方法 B：邏輯導入 (跨版本/引擎安全)
mysqldump --all-databases -u root -p < /var/lib/mysql.bak/... > dump.sql
mysql -u root -p < dump.sql

5. 完整性校驗**：行數、Checksum、關鍵業務查詢、應用煙霧測試

事後必查：入侵痕跡排查清單

預防體系：讓 Root 密碼「遺失」成為不可能

1. 密碼管理器**：1Password/Bitwarden/KeePass 存儲、輪換、審計
2. 自動輪換**：Vault/Secrets Operator 定期輪換、應用熱加載
3. 最小化 Root**：業務用單獨賬號、Root 僅運維用、禁用遠程 Root
4. 審計告警**：MariaDB Audit Plugin / MySQL Enterprise Audit / Percona Audit → 實時推送異常操作
5. 備份加密驗證**：每日自動恢複演練，確保備份可用、密碼可用

結語

skip-grant-tables 是 MySQL 密碼恢複的「萬能鑰匙」，但**真正的安全不在於有後門能進，而在於前門鎖得有多牢、鑰匙管得有多嚴、入侵後能查得有多透**。建立「密碼全生命週期管理 + 運維操作審計 + 定期滲透演練」體系，才是生產環境的根本之道。