mysql 命令行输密码为什么会不安全
因为 ps、history、进程列表都能直接看到完整命令，包括明文密码。哪怕加了 -p 参数，如果后面紧跟着密码（比如 mysql -u root -p123456），密码就裸露在进程参数里，任何有权限查进程的用户都能用 ps aux | grep mysql 拿到。
mysql_config_editor 是什么，它怎么解决这个问题
它是 MySQL 官方提供的凭证管理工具，把用户名、密码加密后存进本地文件 ~/.mylogin.cnf（权限自动设为 600），后续所有客户端命令（mysql、mysqldump 等）都能自动读取，不再需要命令行传密码。
- 只对当前用户生效，不跨用户共享
- 密码不是明文存储，但也不是强加密——本质是 AES 加密 + 固定密钥，防的是 casual 查看，不是防宿主机 root 级别破解
- 配置名（
--login-path）可以自定义，比如prod、dev，不同环境互不干扰 - 执行
mysql --login-path=prod就等价于用了对应账号密码，连-u和-p都不用写
怎么安全地创建和使用 login-path
必须分两步：先用 mysql_config_editor 存凭证，再在客户端命令中引用。不能跳过第一步直接用 --login-path，否则会报错 login path 'xxx' not found。
- 创建：
mysql_config_editor set --login-path=prod --host=localhost --user=app_user --password→ 执行后会交互式输入密码，绝不出现明文 - 验证：
mysql_config_editor print --login-path=prod只显示掩码（如****），不暴露密码 - 使用：
mysql --login-path=prod -e "SELECT VERSION()"或mysqldump --login-path=prod mydb > backup.sql - 删错的配置：
mysql_config_editor remove --login-path=prod，别手抖删整个文件
常见踩坑点和兼容性注意
mysql_config_editor 从 MySQL 5.6.6 开始支持，老版本（如 5.5）压根没有这个命令；另外，它生成的 .mylogin.cnf 是二进制格式，千万别用 vim 直接编辑，会破坏结构导致所有客户端命令报 Access denied for user 却不提示原因。
- Mac 上如果用 Homebrew 装的 MySQL，确保 PATH 里是 Homebrew 的
mysql_config_editor，而不是系统自带旧版 - Docker 容器里用
--login-path，得先把.mylogin.cnf挂载进去，且注意 UID 匹配，否则权限被拒 - 脚本里如果依赖
mysql --login-path=xxx，要先检查该路径是否存在，可用mysql_config_editor print --login-path=xxx &>/dev/null判断
真正麻烦的从来不是记不住命令，而是误以为“没输密码”就等于“密码没泄露”——只要 .mylogin.cnf 文件权限不对、或被备份到 Git / 日志里，风险就还在。
