能正常登录时，直接用ALTER USER修改是最安全、零中断的方式；若已失联，则必须停服务+--skip-grant-tables模式重置，但需严格按步骤操作以防登录失效。
能正常登录时，直接用 ALTER USER 修改是最安全、零中断的方式；如果已失联（如密码遗忘或认证失败），必须停服务 + --skip-grant-tables 模式重置，但操作不当会导致服务不可用或 root 登录失效——关键不是“能不能改”，而是“改完还能不能连上应用”。
正常登录状态下修改密码（推荐，无中断）
前提是当前能用 mysql -u root -p 成功进入 MySQL 命令行。这是唯一不影响业务连接的路径。
-
ALTER USER是 MySQL 5.7.6+ 和 8.0 的官方唯一推荐语法，SET PASSWORD和直接UPDATE mysql.user在 8.0 中会破坏认证插件状态，导致后续无法登录 - 必须写全用户主机范围，比如
'root'@'localhost'和'root'@'%'是两个独立账户，漏改一个就可能让某类连接（如本地脚本或远程管理工具）突然失败 - MySQL 8.0 默认使用
caching_sha2_password插件，老客户端（如旧版 PHP mysqli、某些 Navicat）不兼容，若应用报错ERROR 1045 (28000)，需显式指定插件：ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY '新密码'; - 改完不用手动
FLUSH PRIVILEGES——ALTER USER自动刷新，加这句反而多余，还可能掩盖权限未生效的真正问题
忘记密码或无法登录时的重置流程（有中断，必须谨慎）
这个过程必然中断服务，且极易因版本差异或权限缓存出错。核心风险点不在“改密码”，而在“改完是否真能用新密码登录”。
- 停止服务后，启动
mysqld_safe --skip-grant-tables --skip-networking &：其中--skip-networking很关键，防止未授权远程连接趁机接入 - 登录后不要执行
USE mysql—— MySQL 8.0 的密码字段在mysql.user.authentication_string，而 5.7 是password字段，混用会清空认证信息，导致用户变“空密码但无法登录” - MySQL 8.0 必须用
ALTER USER 'root'@'localhost' IDENTIFIED BY '新密码';；5.7 可用UPDATE mysql.user SET authentication_string = PASSWORD('新密码') WHERE User = 'root' AND Host = 'localhost';，但注意PASSWORD()函数在 8.0 已被移除 - 执行完
ALTER USER后，**必须退出 MySQL 客户端再重启 mysqld 进程**，不能只杀后台mysqld_safe进程——否则权限表仍处于跳过状态，新密码不会加载
改完密码后必须验证的三件事
很多故障发生在“以为改好了”，实际应用连不上。别跳过验证环节。
- 用新密码从命令行重连：
mysql -u root -p -h 127.0.0.1（用127.0.0.1而非localhost，可绕过 socket 连接，真实测试 TCP 认证） - 检查应用配置文件里的
DB_PASSWORD或连接字符串是否同步更新，尤其 Docker 环境中密码常硬编码在docker-compose.yml或环境变量里 - 运行
SELECT User, Host, plugin FROM mysql.user WHERE User = 'root';，确认plugin列是mysql_native_password还是caching_sha2_password，和应用客户端能力匹配
容易被忽略的权限与安全细节
改密码只是起点，真正的风险常藏在配套设置里。
-
'root'@'%'这种通配主机账号极危险，生产环境应直接删除：DROP USER 'root'@'%';，只保留'root'@'localhost'，管理操作走跳板机或内网终端 - MySQL 8.0 默认启用
validate_password组件，设简单密码（如123456）会直接报错ERROR 1819 (HY000)，需先查策略：SHOW VARIABLES LIKE 'validate_password%';，临时调低强度再改密码 - 改完密码不代表万事大吉：所有连接池（如 Tomcat 的 JNDI、Spring Boot 的 HikariCP）会缓存旧凭证，需重启应用或等待连接超时释放，否则持续报错
Access denied for user
