如何确保MySQL密码设置既安全又有效，全面防范各类潜在安全漏洞？

在实际运维中。MySQL 的安全设置往往被表面化，导致漏洞层出不穷。很多人只关注密码强度，却忽略了账户多主机、空密码还有错误日志泄露等细节。结果一旦被扫描或本地提权，数据库瞬间失守。

一、先识别隐藏的“空洞”——同名账户与空密码

最容易被忽略的是：多个 host 的同名账户权限不一致，其中一个可能留着空密码；或者以为禁用了 root@'%' 就安全，却忘记 root@'::1' 仍可用。这类细节不会报错，也不会触发告警。但只要一次扫描或一次本地提权，就全线失守。

再看先执行。

SELECT user,host,auntication_string FROM mysql.user;

至于检查是否存在，

• root@localhost 无密码或极弱口令。
• root@127.0.0.1/root@::1/*% 等多主机同名账号，且密码为空或弱口令。话说回来，

二、开启并配置 validate_password 插件

MySQL 5.7+ 自带 插件。但默认不启用，不启用时 SET PASSWORD/CREATE USER 允许设 “123”、“password” 等弱口令，等于形同虚设。