修改mysql的root密码，最直接的方法是使用alter user命令。具体步骤为：1. 登录mysql；2. 执行alter user ‘root’@’localhost’ identified by ‘新密码’; 3. 执行flush privileges; 若忘记密码，则需以–skip-grant-tables方式启动mysql，登录后先执行flush privileges，再用alter user修改密码，并重启服务。安全方面，应设置强密码、限制root远程访问、遵循最小权限原则、定期审计用户权限，且生产环境严禁使用root进行日常操作，因其权限过大易引发灾难性后果、难以审计、违背安全准则并增加攻击风险。
修改MySQL的root用户默认密码，最直接的方法是在您拥有足够权限（通常是root本身）登录后，使用ALTER USER命令。如果是不幸忘记了密码，则需要通过一些服务级的操作来重置，这通常涉及到以安全模式启动MySQL。
解决方案
当您能够以root用户或具有ALTER USER权限的用户登录到MySQL时，修改root密码是一个相对直接的过程。
首先，通过命令行或MySQL客户端登录到MySQL服务器：
mysql -u root -p
输入当前root密码后，您将进入MySQL命令行界面。接着，使用以下SQL命令来修改密码：
ALTER USER 'root'@'localhost' IDENTIFIED BY '您的新密码'; FLUSH PRIVILEGES;
请务必将’您的新密码’替换为您实际想要设置的新密码。这里需要强调的是，一个强密码至关重要，它应该是大小写字母、数字和特殊字符的组合，并且有足够的长度。设置完成后，FLUSH PRIVILEGES;命令会刷新权限，确保新密码立即生效。虽然ALTER USER通常会隐式地刷新权限，但显式地执行一次可以避免一些潜在的同步问题。
如果您需要在所有主机上更改root用户的密码（即’root’@’%’），则需要针对那个用户进行操作。但通常情况下，我们强烈建议限制root用户只能从localhost访问。
忘记root密码了怎么办？
这可能是最让人头疼的场景，但别慌，MySQL提供了一种恢复机制。这通常涉及到以跳过权限检查的方式启动MySQL服务，然后进行密码重置。
具体步骤如下：
-
停止MySQL服务： 这是第一步，也是最关键的一步。您需要确保MySQL服务完全停止运行。 对于Systemd系统（如ubuntu 16.04+，centos 7+）：
sudo systemctl stop mysql # 或 sudo systemctl stop mysqld
对于SysVinit系统（如旧版Ubuntu/debian）：
sudo service mysql stop # 或 sudo service mysqld stop
-
以跳过权限表的方式启动MySQL： 这一步是恢复的关键。它让MySQL在启动时忽略权限检查，从而允许您无需密码即可登录。 使用mysqld_safe或mysqld命令，并带上–skip-grant-tables参数。
sudo mysqld_safe --skip-grant-tables &
或者，如果mysqld_safe不可用或您更倾向于直接使用mysqld：
sudo mysqld --skip-grant-tables --skip-networking &
–skip-networking可以进一步增加安全性，因为它会阻止远程连接，确保只有本地用户可以连接。&符号让命令在后台运行，这样您就可以继续使用终端。
-
无密码登录MySQL： MySQL服务现在应该在后台运行，并且不要求密码。
mysql -u root
您应该能够直接进入MySQL命令行提示符。
-
刷新权限并修改密码： 进入MySQL后，首要任务是刷新权限表，因为–skip-grant-tables会禁用它们。
FLUSH PRIVILEGES;
然后，使用ALTER USER命令来设置新密码。
ALTER USER 'root'@'localhost' IDENTIFIED BY '您的新密码';
重要提示： 在执行ALTER USER之前必须执行FLUSH PRIVILEGES。这是因为在–skip-grant-tables模式下，权限系统是禁用的，FLUSH PRIVILEGES会重新加载权限表，使其能够识别后续的ALTER USER操作。
-
停止并正常重启MySQL服务： 密码修改完成后，您需要停止以安全模式运行的MySQL进程，然后正常启动它。 找到之前启动的mysqld_safe或mysqld进程ID（PID），然后kill掉它。
sudo pkill mysqld
或者，您也可以直接重启服务，系统会关闭旧进程并启动新进程：
sudo systemctl start mysql # 或 sudo systemctl start mysqld
现在，您应该可以使用新密码正常登录MySQL了。这个过程虽然有点像“外科手术”，但在忘记密码时却是救命稻草。
更改密码后需要注意哪些安全事项？
修改了root密码，这只是迈向更安全数据库环境的第一步。真正的挑战在于维护这种安全性。这里有几点是我认为常常被忽视，但却至关重要的：
-
强密码是基础，但不是全部： 一个复杂、足够长的密码当然是必须的，但这仅仅是抵御暴力破解的第一道防线。定期更换密码也是一个好习惯，但更重要的是密码不能重复使用，尤其是与其他服务相同的密码。
-
限制root用户的远程访问： 默认情况下，root用户通常被配置为只能从localhost（即MySQL服务器本机）连接。这是非常好的安全实践。如果您发现mysql.user表中存在’root’@’%’这样的用户，意味着root可以从任何地方登录，这无疑是一个巨大的安全漏洞。除非有非常明确的理由，否则请删除或修改此类用户。
-- 检查是否存在远程root用户 select User, Host FROM mysql.user WHERE User = 'root'; -- 如果存在 'root'@'%'，考虑删除或修改 DROP USER 'root'@'%'; -- 或者，如果确实需要从特定IP访问，可以创建 'root'@'your_specific_ip'
-
最小权限原则（Principle of Least Privilege）： 这是数据库安全的核心。应用程序或普通用户不应该使用root账户来连接数据库。root用户拥有对所有数据库、所有表的完全控制权，任何误操作或安全漏洞都可能导致灾难性的后果。
-
创建专用用户并赋予最小权限： 对于每一个需要访问数据库的应用程序或业务功能，都应该创建一个具有特定、最小权限的用户。例如，一个Web应用可能只需要对某个数据库的特定表有SELECT, INSERT, UPDATE, delete权限，而不需要DROP或GRANT权限。
CREATE USER 'your_app_user'@'localhost' IDENTIFIED BY 'your_app_password'; GRANT SELECT, INSERT, UPDATE, DELETE ON `your_database`.* TO 'your_app_user'@'localhost'; FLUSH PRIVILEGES;
这样，即使your_app_user的密码泄露，攻击者也只能在限定的范围内进行操作，大大降低了潜在的损失。
-
定期审计用户和权限： 随着时间的推移，数据库用户和权限可能会变得混乱。定期检查mysql.user表，了解谁可以访问您的数据库，以及他们拥有哪些权限，是一个非常好的习惯。删除不再需要的用户，并收回不必要的权限。
为什么不建议在生产环境中使用root用户进行日常操作？
这不仅仅是“建议”，在生产环境中，使用root用户进行日常数据库操作，简直就是把一颗定时炸弹放在了数据中心。我个人觉得，这几乎是一种“懒惰的原罪”，因为它极大地增加了风险敞口。
首先，权限过大带来的灾难性后果。root用户拥有对MySQL实例的绝对控制权，包括创建、修改、删除任何数据库、任何表，甚至修改系统配置和用户权限。这意味着，任何一个不小心（比如敲错一个SQL命令，少写一个WHERE子句），或者一个应用程序的漏洞被利用，都可能导致整个数据库的数据被破坏、泄露，甚至是整个数据库服务瘫痪。想象一下，一个本该只更新几条记录的脚本，因为使用了root权限，一个不慎就清空了整个表，那后果不堪设想。
其次，难以追踪和审计。当所有操作都以root用户执行时，数据库的日志（如binlog、Error log）中，所有操作都显示为root执行。这使得在出现问题时，很难追溯是哪个应用程序、哪个功能模块、甚至是哪位开发人员导致了问题。缺乏细粒度的审计线索，对于故障排查和安全事件响应都是一个巨大的障碍。
再者，违背最小权限原则。这是信息安全领域一个金科玉律：任何用户、程序或进程都应该只被授予完成其任务所必需的最小权限。应用程序通常只需要对特定数据库的特定表进行读写操作，它们根本不需要管理权限，也不需要访问其他数据库。给它们root权限，就像是给一个送信的快递员一把万能钥匙，可以打开你家里所有的门。
最后，增加攻击面。如果应用程序连接数据库时使用root账户，一旦该应用程序本身存在安全漏洞（例如SQL注入），攻击者就可能利用这个漏洞，通过应用程序的root权限来执行任意的数据库操作，甚至可能通过MySQL的UDF（User Defined Functions）功能来执行操作系统命令，从而完全控制服务器。
所以，正确的做法是为每个应用程序或功能模块创建专门的MySQL用户，并只赋予它们完成任务所需的最小权限。例如，一个博客应用的用户可能只需要对blog_db数据库的posts、comments、users表有SELECT, INSERT, UPDATE, DELETE权限。这样，即使某个应用被攻破，其影响也仅限于它被授权访问的数据，而不会波及整个数据库系统。这是一种防御性编程和系统设计的体现，是构建健壮、安全生产环境不可或缺的一环。
