如何解决 MySQL 中 root 用户密码过期问题并优化密码策略

在 MySQL 8.0 及更高版本中，默认启用了密码过期策略，root 用户或普通用户如果长期未修改密码，在登录时会收到 Your password has expired 的错误提示。此时无法执行任何 SQL 语句，必须先重置密码才能继续操作。下面分步骤介绍如何解决该问题，并进一步优化密码策略。

一、解决 root 密码过期问题

1. 使用 mysql -u root -p 尝试登录

当密码过期时，虽然能输入旧密码进入 MySQL 客户端，但无法执行查询或修改操作，系统会强制要求设置新密码。

2. 重置密码（三种方式）

方式一：在客户端内直接修改密码（适用于仍可进入交互模式）

-- 使用当前过期的密码登录后，执行：
ALTER USER 'root'@'localhost' IDENTIFIED BY 'NewStrongPassword!';

完成后，即可正常执行其他命令。

方式二：使用 mysql_secure_installation（交互式安全脚本）

sudo mysql_secure_installation

该脚本会引导你重新设置 root 密码、移除匿名用户、禁止 root 远程登录等，其中也会处理密码过期问题。

方式三：跳过权限表重置（适用于无法登录的情况）

如果已无法通过任何方式登录，需要先停止 MySQL 服务，然后以跳过授权表的方式启动：

sudo systemctl stop mysql
sudo mysqld_safe --skip-grant-tables &

连接到 MySQL 后，先刷新权限，再修改密码：

FLUSH PRIVILEGES;
ALTER USER 'root'@'localhost' IDENTIFIED BY 'NewStrongPassword!';
FLUSH PRIVILEGES;

之后重启 MySQL 服务：

sudo pkill mysqld
sudo systemctl start mysql

二、优化密码策略

MySQL 默认的密码策略可能过于严格（如长度、复杂度）或不够安全，可以通过全局变量调整。

1. 查看当前密码策略

SHOW VARIABLES LIKE 'validate_password%';

常见变量包括：

• validate_password.length：密码最小长度
• validate_password.policy：策略等级（LOW / MEDIUM / STRONG）
• validate_password.mixed_case_count：大小写字母最少数量
• validate_password.number_count：数字最少数量
• validate_password.special_char_count：特殊字符最少数量

2. 修改策略（示例：调整为中等策略，最小长度 8）

SET GLOBAL validate_password.policy = MEDIUM;
SET GLOBAL validate_password.length = 8;
SET GLOBAL validate_password.mixed_case_count = 1;
SET GLOBAL validate_password.number_count = 1;
SET GLOBAL validate_password.special_char_count = 0;

3. 调整密码过期时间

默认情况下，MySQL 8.0 的 default_password_lifetime 为 0（表示过期时间由用户单独设置）或 1 年。可以全局修改：

-- 设置密码永不过期（不推荐生产环境）
SET GLOBAL default_password_lifetime = 0;

-- 设置密码每 90 天过期
SET GLOBAL default_password_lifetime = 90;

4. 对特定用户设置过期策略

ALTER USER 'root'@'localhost' PASSWORD EXPIRE INTERVAL 90 DAY;
ALTER USER 'app_user'@'%' PASSWORD EXPIRE NEVER;

5. 永久保存配置

上述 SET GLOBAL 只在当前会话生效，重启后失效。需将配置写入 MySQL 配置文件（如 /etc/my.cnf 或 /etc/mysql/mysql.conf.d/mysqld.cnf）：

[mysqld]
validate_password.policy = MEDIUM
validate_password.length = 8
default_password_lifetime = 90

然后重启服务使配置永久生效。

三、最佳实践建议

• 定期修改密码：根据合规要求设置合理的过期周期（如 90 天）。
• 使用强密码：至少包含大小写字母、数字、特殊字符，长度不低于 12 位。
• 避免 root 远程登录：生产环境应通过权限分离，为不同应用创建专用账户。
• 启用密码复用检查：设置 password_history 和 password_reuse_interval 防止循环使用旧密码。

通过以上步骤，既能快速解决 root 密码过期导致的登录问题，也能建立起符合安全规范的密码管理机制。