线上批量重置MySQL用户密码唯一安全路径是用SELECT CONCAT()生成带随机密码的ALTER USER语句：先查目标用户，再用openssl或pwgen生成密码，拼接SQL并确保含PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCK；严禁UPDATE mysql.user或存储过程循环。
别用存储过程循环改密码，也别直接 UPDATE
mysql
.user 表——线上环境批量重置用户密码，唯一安全、可控、可审计的路径是：用
生成一批带随机密码的
语句，导出执行。
怎么生成带随机密码的 ALTER USER 语句
MySQL 本身不提供服务端随机字符串函数（
不能直接拼密码），所以得靠客户端或 Shell 补足。推荐在 Linux 下用
或
生成密码，再结合
拼 SQL。
先查出目标用户（比如所有非 root、非系统账号，且未锁定）：
用 Shell 循环生成语句（示例）：
注意：单引号要成对出现，中间密码部分必须用双单引号包裹（SQL 字符串内转义）
生成前加
参数：
避免列名、制表符、转义字符混入，保证输出是干净可执行的 SQL 行
为什么不能用 UPDATE mysql.user + FLUSH PRIVILEGES
MySQL 5.7+ 明确不建议直改系统表，不是“能不能”，而是“改了会埋雷”：
字段内容依赖插件（如
），手动填字符串可能变成无效哈希，用户连不上
漏掉
、
、
等字段，导致用户下次登录被强制改密或拒绝访问
在高并发时会 reload 整个权限缓存，可能引发短暂连接拒绝，而
是原子操作，不触发全局 reload
执行前必须检查的三件事
生成的 SQL 文件不是扔进去就跑，漏检一条就可能锁死一批应用账号：
MySQL（Linux）
MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。
下载
用
确认每行都是合法语句，且没出现空
或
（常见于视图或旧账号残留）
抽样验证密码长度和字符集：
，确保 ≥ 12 字符，不含控制符
确认当前执行账号有
权限（或对
表有
权限），否则
会静默失败（无报错但不生效）
执行后应用仍连不上？大概率是这两个状态没重置
密码改了，但
或
还挂着，应用照样被拒：
查状态：
生成语句时务必带上：
——不是可选，是必须。8.0+ 默认开启账户锁定策略，多次失败登录就会锁，不显式解锁，新密码无效
别信“
自动处理”，它只改密码字段；过期和锁定是独立状态位，必须显式覆盖
真正麻烦的从来不是生成语句，而是确认每个目标用户当前是否处于可接受新密码的状态。线上跑之前，先在测试实例上用相同条件跑一遍全链路：查用户 → 生成语句 → 抽样校验 → 执行 → 应用连接验证。少跳任何一环，都可能换来凌晨三点的告警电话。
SELECT CONCAT()ALTER USERRAND()openssl rand -base64 12pwgen -s -y 12 1SELECT CONCAT()SELECT user, host FROM mysql.user WHERE user NOT IN ('root', 'mysql.infoschema', 'mysql.session', 'mysql.sys') AND account_locked = 'N' AND host != 'localhost' LIMIT 10;mysql -Nse "SELECT CONCAT('ALTER USER `',user,'`@`',host,'` IDENTIFIED BY ''', openssl rand -base64 12 | tr -d '\n' | sed 's/[^a-zA-Z0-9!@#\$%]/!/g', ''' PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCK;') FROM mysql.user WHERE ... " > reset.sql-N -s -rmysql -Nsrauthentication_stringcaching_sha2_passwordpassword_expiredaccount_lockedpassword_last_changedFLUSH PRIVILEGESALTER USERhead -20 reset.sql | grep -E "(ALTER USER|IDENTIFIED BY)"userhostgrep -oP "IDENTIFIED BY '\K[^']+" reset.sql | head -5 | while read p; do echo "$p" | wc -c; doneSYSTEM_USERmysql.userUPDATEALTER USERpassword_expired = 'Y'account_locked = 'Y'SELECT user, host, password_expired, account_locked FROM mysql.user WHERE user IN ('app', 'report', 'api');PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCKALTER USER