MySQL 5.7 修改 root 密碼全攻略：authentication_string 機制、skip-grant-tables 與 ALTER USER 實戰

MySQL 5.7 修改 root 密碼全攻略：authentication_string 機制、skip-grant-tables 與 ALTER USER 實戰

MySQL 5.7 引入重大安全架構變更：mysql.user 表移除 Password 列，改用 authentication_string 存儲加密密碼；密碼過期策略、驗證插件機制全面升級。本文提供 5.7 修改 root 密碼的標準流程、緊急重置方案、常見坑點及驗證清單。

一、 核心變更速覽

二、 標準修改流程（已知當前密碼）

方法 1：ALTER USER（推薦，5.7.6+）

ALTER USER 'root'@'localhost' IDENTIFIED BY 'NewPass123!';
FLUSH PRIVILEGES;

方法 2：SET PASSWORD（兼容舊版本）

SET PASSWORD FOR 'root'@'localhost' = PASSWORD('NewPass123!');
FLUSH PRIVILEGES;

方法 3：直接 UPDATE user 表（理解底層機制）

UPDATE mysql.user 
SET authentication_string = PASSWORD('NewPass123!') 
WHERE User = 'root' AND Host = 'localhost';
FLUSH PRIVILEGES;

⚠️ 注意：5.7 中 PASSWORD() 函數返回的哈希值直接寫入 authentication_string。

三、 緊急重置流程（忘記 root 密碼）

1. 停止 MySQL 服務

systemctl stop mysqld
# 或
killall -TERM mysqld

2. 跳過權限表啟動

# 僅本地訪問，生產環境務必加 --skip-networking
mysqld_safe --skip-grant-tables --skip-networking &

3. 無密碼登入並修改

mysql -uroot
# 進入客戶端後
UPDATE mysql.user 
SET authentication_string = PASSWORD('NewPass123!') 
WHERE User = 'root' AND Host = 'localhost';
FLUSH PRIVILEGES;
QUIT;

4. 重新正常啟動

killall -TERM mysqld
mysqld_safe &
# 或 systemctl start mysqld

5. 驗證新密碼並補全權限（關鍵步驟）

mysql -uroot -p'NewPass123!'
# 登入後執行（解決 5.7 密碼過期/插件問題）
ALTER USER 'root'@'localhost' IDENTIFIED BY 'NewPass123!';
# 或
SET PASSWORD FOR 'root'@'localhost' = PASSWORD('NewPass123!');

原因：--skip-grant-tables 模式下修改的密碼可能未觸發驗證插件初始化、密碼過期時間重置，需正常模式下再次 ALTER USER 固化。

四、 常見坑點與解決

五、 生產環境最佳實踐

1. 密碼策略：validate_password 插件強制複雜度（長度≥12、大小寫、數字、特殊字符）
2. 賬號分離：root 僅本地管理，應用使用專用賬號（最小權限）
3. 定期輪換：每 90 天輪換，腳本自動化 + 通知
4. 審計日志：audit_log 記錄所有賬號變更操作
5. 備份驗證：密碼變更後立即驗證邏輯/物理備份腳本連接正常

六、 總結

MySQL 5.7 密碼管理核心在於 authentication_string 列與 ALTER USER 語法。常規修改用 ALTER USER，忘記密碼用 --skip-grant-tables --skip-networking 緊急重置，隨後必須正常模式下再次 ALTER USER 固化。構建「強密碼策略、賬號分離、定期輪換、審計追蹤」的全生命週期管理體系，才是根本之道。