会，直接暴露 MYSQL_ROOT_PASSWORD 会导致密码明文存储在 docker inspect 输出、shell 历史、ps 进程列表及日志中，极易被窃取；正确做法是使用 docker secrets（Swarm）、.env 文件（chmod 600）或初始化 SQL 脚本动态设置。
直接暴露 MYSQL_ROOT_PASSWORD 会泄露密码吗？
会，而且很常见。用 docker run -e MYSQL_ROOT_PASSWORD=123456 启动容器后，密码会出现在：docker inspect 输出里、shell 历史记录中、进程列表（ps aux）可见，甚至可能被日志系统捕获。
这不是“理论上可能”，而是默认行为 —— Docker 环境变量在容器元数据中明文存储，任何人都能通过 docker inspect mysql-container | grep MYSQL_ROOT_PASSWORD 直接看到。
- 别把密码写进
docker run命令行，哪怕只是临时测试 -
.env文件虽比命令行隐蔽，但仍是普通文件，权限没设对（比如chmod 644 .env）就等于公开 - 镜像构建阶段写死密码（如
ENV MYSQL_ROOT_PASSWORD=...）更危险：密码会固化进镜像层，拉取镜像即获取密码
用 docker-compose.yml 加 .env 怎么设才安全？
必须满足两个条件：文件权限严格 + 内容不硬编码。正确做法是：
-
.env文件权限设为600（chmod 600 .env），确保只有当前用户可读 -
.env中只写变量名，值由运行时注入（例如用export MYSQL_ROOT_PASSWORD=$(cat /run/secrets/mysql_root_pw)） -
docker-compose.yml中不要出现密码字面量，只引用变量：MYSQL_ROOT_PASSWORD: ${MYSQL_ROOT_PASSWORD}
示例片段：
version: '3.9'
services:
mysql:
image: mysql:8.0.33
environment:
MYSQL_ROOT_PASSWORD: ${MYSQL_ROOT_PASSWORD}
MYSQL_DATABASE: app_db
如果宿主机没有密码管理机制，至少用 openssl rand -base64 24 生成一次性的强密码，存入 .env 并立即 chmod 600 .env。
生产环境该用 docker secrets 还是初始化脚本？
docker secrets 只在 Swarm 模式下可用，普通 docker-compose up 不支持 —— 很多人查文档没注意这点，配了却不起作用。
更通用且可控的方式是：挂载初始化 SQL 脚本，在容器首次启动时执行 ALTER USER 修改 root 密码。
- 准备
init/secure-root.sql：
ALTER USER 'root'@'localhost' IDENTIFIED BY '${ROOT_PW}';
FLUSH PRIVILEGES;
- 启动时通过
volumes挂载，并确保ROOT_PW作为环境变量传入（仍需走.env+chmod 600） - MySQL 容器会自动执行
/docker-entrypoint-initdb.d/下的.sql文件，且只在空数据目录时运行一次 - 这样 root 密码不在容器启动参数或环境变量中明文传递，仅在初始化阶段使用
容器跑起来后还能安全改 root 密码吗？
能，但必须进容器执行 SQL，不能靠重启或重设环境变量 —— MYSQL_ROOT_PASSWORD 只在初始化阶段生效，后续修改完全无效。
正确操作路径：
- 连接容器：
docker exec -it mysql-container mysql -uroot -p - 执行：
ALTER USER 'root'@'localhost' IDENTIFIED BY 'new_strong_password'; - 立刻执行：
FLUSH PRIVILEGES;（漏掉这句，新密码不会生效） - 验证：
mysql -uroot -pnew_strong_password -e "SELECT 1;"
注意：'root'@'%' 和 'root'@'localhost' 是两个独立账号。Docker 默认只创建后者，如果你之前手动创建过 'root'@'%'，得单独改它，否则远程连不上。
真正容易被忽略的是：改完密码后，所有依赖该密码的服务（比如应用容器、备份脚本）必须同步更新，否则第二天就断连。这事不难，但没人 checklist 就大概率漏掉一个。
