MySQL 5.7 忘记root密码如何重置？

Question

在MySQL 5.7中，若忘记root用户密码，如何安全地重置？常见问题包括：重启mysqld时添加`--skip-grant-tables`参数跳过权限验证后，使用`UPDATE mysql.user SET authentication_string = PASSWORD('new_password') WHERE User = 'root'`语句修改密码失败，提示表结构错误或字段不存在。这是由于MySQL 5.7的user表中密码字段为`authentication_string`，且需刷新权限缓存。此外，操作后未正确重启服务或未移除`--skip-grant-tables`可能导致安全风险。正确步骤应结合`--skip-grant-tables`与`--skip-networking`保障安全，并使用`FLUSH PRIVILEGES`生效更改。

Answer 1

MySQL 5.7 忘记 root 密码的安全重置方案与深度解析

1. 背景与问题场景

在运维或数据库管理过程中，遗忘 MySQL 的 root 用户密码是常见问题。尤其在生产环境或测试环境中，若未妥善保存凭证，将直接影响系统维护与故障恢复。MySQL 5.7 版本中，用户权限表结构发生重要变更：原 password 字段被替换为 authentication_string，这导致许多沿用旧版本操作方式的 DBA 在尝试重置密码时遭遇“字段不存在”或“表结构错误”等异常。

典型错误语句如下：

UPDATE mysql.user SET password = PASSWORD('new_password') WHERE User = 'root';

该语句在 MySQL 5.7 中会失败，因为 password 字段已废弃。

2. 核心机制分析：user 表结构变迁

MySQL 5.7 的 mysql.user 表结构进行了重构，主要变化包括：

字段名	用途说明	版本兼容性
authentication_string	存储用户认证凭据（加密后的密码）	MySQL 5.7+
password	MySQL 5.6 及以前版本使用，5.7 中已弃用	<=5.6
plugin	指定认证插件，如 caching_sha2_password 或 mysql_native_password	5.7+

因此，更新密码必须针对 authentication_string 字段，并确保使用正确的加密函数。

3. 安全重置流程：分步详解

1. 停止 MySQL 服务：
   sudo systemctl stop mysqld
2. 以跳过权限模式启动：
   使用 --skip-grant-tables 和 --skip-networking 组合保障安全：
   sudo mysqld --skip-grant-tables --skip-networking &
   其中 --skip-networking 防止外部连接，避免未授权访问。
3. 连接到 MySQL 实例：
   mysql -u root（无需密码）
4. 切换数据库并刷新权限：
   

   USE mysql;
   FLUSH PRIVILEGES;

5. 更新 root 用户密码：
   正确语法应为：

   UPDATE mysql.user 
   SET authentication_string = PASSWORD('MyNewPass!123') 
   WHERE User = 'root' AND Host = 'localhost';

   注意：需根据实际 Host 值匹配，常见为 localhost、127.0.0.1 或 %。
6. 强制刷新权限缓存：
   FLUSH PRIVILEGES; 必须执行两次——一次在修改前激活内存权限，一次在修改后使更改生效。
7. 退出并正常重启服务：
   先终止临时进程，再启动标准服务：
   sudo pkill mysqld
sudo systemctl start mysqld

4. 常见问题与规避策略

• ERROR 1054 (42S22): Unknown column 'password' in 'field list'：
  原因：误用旧字段名；解决方案：改用 authentication_string。
• Password not taking effect after update：
  原因：未执行 FLUSH PRIVILEGES；建议在更新前后各执行一次。
• Remote access during skip-grant-tables：
  风险：若未启用 --skip-networking，攻击者可无密码登录；务必组合使用。
• Plugin mismatch causing login failure：
  某些情况下，即使密码正确仍无法登录，可能是认证插件不匹配。可通过以下语句修复：
  

  UPDATE mysql.user SET plugin='mysql_native_password' WHERE User='root';

5. 流程图：密码重置全过程可视化

graph TD A[停止MySQL服务] --> B[启动mysqld with --skip-grant-tables
和 --skip-networking] B --> C[本地连接mysql -u root] C --> D[执行 USE mysql; FLUSH PRIVILEGES;] D --> E[更新authentication_string字段] E --> F[再次执行FLUSH PRIVILEGES] F --> G[退出并终止临时mysqld进程] G --> H[正常重启mysqld服务] H --> I[使用新密码登录验证]

6. 高阶建议与最佳实践

对于拥有 5 年以上经验的 DBA，应考虑以下增强措施：

• 在自动化运维平台中预设“紧急恢复脚本”，包含上述流程，并限制执行权限。
• 结合 SELinux 或 AppArmor 强化临时启动阶段的安全隔离。
• 审计日志监控：通过 general_log 或第三方工具记录所有绕过权限的操作，便于事后追溯。
• 定期轮换 root 密码并通过配置管理工具（如 Ansible、Puppet）同步凭证。
• 考虑使用 MySQL 8.0+ 的角色管理和 vault 类密钥管理系统进行更高级别的安全管理。