MySQL 8.0+ 安全自动部署的唯一可靠方式是使用 --init-file 在首次初始化时执行 ALTER USER 语句预设 root 密码并指定认证插件，配合环境变量传参、严格文件权限与空数据目录，避免硬编码和交互式工具。
脚本里直接写密码会出安全警告，但不写又没法自动部署
MySQL 5.7+ 安装后默认生成一个临时密码，藏在 /var/log/mysqld.log 里；8.0+ 更进一步，默认禁止空密码登录，且 mysql_secure_installation 不接受非交互式传参。所以硬编码密码看似简单，实则踩坑：MySQL 启动时若检测到 root 密码为空或弱，会拒绝服务启动（尤其开启 validate_password 插件时）。
真正可行的预设路径只有一条：让 MySQL 初始化阶段就“知道”你要用什么密码，而不是等它跑起来再改。
- 对 MySQL 8.0+：必须用
--init-file指向一个 SQL 文件，在 mysqld 第一次初始化数据目录时执行其中语句 - 对 MySQL 5.7：可用
mysqld --initialize-insecure启动，再立刻用mysql -u root --skip-grant-tables改密，但该方式在 systemd 环境下易被服务管理器拦截 - 无论哪个版本，都别把密码明文塞进
my.cnf的[client]段——这会导致其他命令（如mysqladmin）读取失败，且泄露风险极高
用 --init-file 在初始化时注入 ALTER USER 语句
这是目前最干净、兼容 systemd 且不触发安全拦截的做法。关键点是：这个 SQL 文件必须在 mysqld 第一次运行（即 mysql_install_db 或 mysqld --initialize）时被读取，且仅执行一次。
示例操作流程：
- 准备初始化 SQL 文件：
/tmp/init_root.sql，内容为：ALTER USER 'root'@'localhost' IDENTIFIED BY 'Sec@Pass123!';
- 确保 MySQL 数据目录为空（如
/var/lib/mysql），否则--init-file不生效 - 调用初始化命令（以 MySQL 8.0 为例）：
mysqld --initialize --init-file=/tmp/init_root.sql --user=mysql
- 启动服务前删掉该文件：
rm /tmp/init_root.sql（防止残留）
注意：--init-file 只在初始化模式下有效；普通启动时加它会被忽略。如果脚本中用了 systemctl start mysqld，需先禁用服务、手动初始化、再启用服务。
自动化脚本里如何安全传递密码参数
密码不能硬编码在脚本里，也不能靠 echo 管道喂给交互式命令（如 mysql_secure_installation 会拒绝 stdin 输入）。正确做法是结合环境变量 + 文件权限控制：
- 在脚本开头读取外部变量：
ROOT_PASSWORD="${ROOT_PASSWORD:-Sec@Pass123!}"，允许用户通过ROOT_PASSWORD=xxx ./install.sh注入 - 生成
--init-file时用printf "ALTER USER ... BY '%s';\n" "$ROOT_PASSWORD" > /tmp/init.sql，避免 shell 字符（如单引号、反斜杠）破坏 SQL 语法 - 设置该文件权限：
chmod 600 /tmp/init.sql && chown mysql:mysql /tmp/init.sql，防止其他用户读取 - 切勿在日志中回显
$ROOT_PASSWORD，哪怕加了set +x也建议在赋值前后用set -x; set +x包裹敏感段
MySQL 8.0 远程访问和认证插件兼容性必须同步处理
只设密码还不够。很多自动化部署失败，是因为客户端（比如 Python 的 pymysql 或旧版 Navicat）不支持 MySQL 8.0 默认的 caching_sha2_password 插件，报错 Authentication plugin 'caching_sha2_password' cannot be loaded。
解决方法是在初始化 SQL 中一并切换插件：
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'Sec@Pass123!';
如果还要开放远程 root 登录（不推荐生产环境），得额外加：
CREATE USER 'root'@'%' IDENTIFIED WITH mysql_native_password BY 'Sec@Pass123!'; GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' WITH GRANT OPTION;
这两句必须和 ALTER USER 写在同一 --init-file 中，否则第一次启动后权限表尚未加载，GRANT 会失败。
初始化完成后，FLUSH PRIVILEGES 不需要手动执行——--init-file 中的语句已在权限系统加载后运行。
