MD5(RAND())生成的是固定长度哈希值而非随机密码，因RAND()在单条SQL中具确定性；可靠做法是用SUBSTRING+RAND()从字符集逐位抽取，或用CTE递归生成。
MD5(RAND()) 生成的不是随机密码，而是固定长度哈希值
很多人以为 MD5(RAND()) 能直接产出“随机密码”，其实不然：RAND() 返回的是 0 到 1 之间的浮点数（如 0.123456789），MD5() 对它哈希后每次结果都稳定——因为 RAND() 在单条 SQL 中是**确定性计算**，不会真正“随机”。更糟的是，MD5('0.123456789') 总是同一个 32 位十六进制串，毫无密码学意义。
真正可用的做法是：用 RAND() 驱动字符索引，从预设字符集中逐位抽取。例如：
SELECT SUBSTRING('abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789', FLOOR(RAND() * 62) + 1, 1);这才是可控、可扩展的随机字符生成逻辑。
SUBSTRING + RAND() 拼接多位字符时必须避免重复调用 RAND()
写成 SUBSTRING(..., FLOOR(RAND()*62)+1, 1) + SUBSTRING(..., FLOOR(RAND()*62)+1, 1) 看似自然，但 MySQL 会为每个 RAND() 单独求值——这本身没错，但若在子查询或 UPDATE 中反复引用同一表达式，可能因执行计划优化导致意外复用（尤其在旧版本）。更稳妥的方式是用派生表或 CTE 固化随机序列。
生成 10 位密码的可靠写法（MySQL 8.0+）：
WITH RECURSIVE pwd AS (
SELECT 1 AS n, SUBSTRING('ABCDEFG...xyz0123456789', FLOOR(RAND()*62)+1, 1) AS c
UNION ALL
SELECT n+1, SUBSTRING('ABCDEFG...xyz0123456789', FLOOR(RAND()*62)+1, 1)
FROM pwd WHERE n < 10
)
SELECT GROUP_CONCAT(c ORDER BY n SEPARATOR '') FROM pwd;MySQL 5.7 及以下可用临时变量模拟（注意：仅限会话内单次执行）：
SELECT @pwd := '' AS _,
(SELECT @pwd := CONCAT(@pwd, SUBSTRING('abc...9', FLOOR(RAND()*62)+1, 1))
FROM information_schema.columns
LIMIT 10) AS _,
@pwd AS password;别把 MD5 当密码生成器，它只适合校验不适用生成
MD5() 是单向哈希函数，设计目标是防篡改，不是防暴力破解。用它“生成密码”等于把明文映射到固定 32 字符串，反而暴露了输入空间特征（比如你用 MD5(ROUND(RAND()*1000000))，攻击者只需爆破百万整数就能还原原始值）。
如果你真需要哈希后的密码字符串（比如做 token 校验），正确姿势是：先生成强随机字符串，再用 MD5() 或更安全的 SHA2() 哈希它。例如：
SELECT SHA2(
CONCAT(
SUBSTRING('abc...9', FLOOR(RAND()*62)+1, 1),
SUBSTRING('abc...9', FLOOR(RAND()*62)+1, 1),
-- ... 重复 16 次
), 256);但注意：SHA2() 输出是十六进制字符串（64 位），不是可读密码；若要存为用户密码，请用专用函数如 VALIDATE_PASSWORD_STRENGTH() 配合 INSERT ... VALUES (SHA2(..., 256))，并确保应用层加盐。
实际业务中更推荐用应用层生成，而非纯 SQL
SQL 层生成随机密码看似“一劳永逸”，但有硬伤：无法控制熵源质量（RAND() 是伪随机）、难以做密码策略校验（比如必须含大小写字母+数字+符号）、无法审计生成过程。生产环境应由 PHP/Python/Java 等语言调用加密安全随机函数（如 Python 的 secrets.choice()、PHP 的 random_int()）生成，再传入 SQL。
如果非得在 SQL 中临时应急，记住三点：
- 字符集越长越好，至少 62 字符（大小写字母+数字），建议加入
!@#$%^&*提升强度 - 长度别低于 12 位，
RAND()的周期限制下，短密码易被穷举 - 避免在触发器或存储过程中高频调用——
RAND()在某些并发场景下可能返回相同序列
真正难的不是拼出那串字符，而是让每一步都不可预测、不可复现、不可推导。
