线上批量重置MySQL用户密码唯一安全路径是用SELECT CONCAT()生成带随机密码的ALTER USER语句：先查目标用户，再用openssl或pwgen生成密码，拼接SQL并确保含PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCK；严禁UPDATE mysql.user或存储过程循环。
别用存储过程循环改密码，也别直接 UPDATE mysql.user 表——线上环境批量重置用户密码，唯一安全、可控、可审计的路径是：用 SELECT CONCAT() 生成一批带随机密码的 ALTER USER 语句，导出执行。
怎么生成带随机密码的 ALTER USER 语句
MySQL 本身不提供服务端随机字符串函数（RAND() 不能直接拼密码），所以得靠客户端或 Shell 补足。推荐在 Linux 下用 openssl rand -base64 12 或 pwgen -s -y 12 1 生成密码，再结合 SELECT CONCAT() 拼 SQL。
- 先查出目标用户（比如所有非 root、非系统账号，且未锁定）：
SELECT user, host FROM mysql.user WHERE user NOT IN ('root', 'mysql.infoschema', 'mysql.session', 'mysql.sys') AND account_locked = 'N' AND host != 'localhost' LIMIT 10; - 用 Shell 循环生成语句（示例）：
mysql -Nse "SELECT CONCAT('ALTER USER `',user,'`@`',host,'` IDENTIFIED BY ''', openssl rand -base64 12 | tr -d '\n' | sed 's/[^a-zA-Z0-9!@#\$%]/!/g', ''' PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCK;') FROM mysql.user WHERE ... " > reset.sql注意：单引号要成对出现，中间密码部分必须用双单引号包裹（SQL 字符串内转义） - 生成前加
-N -s -r参数：mysql -Nsr避免列名、制表符、转义字符混入，保证输出是干净可执行的 SQL 行
为什么不能用 UPDATE mysql.user + FLUSH PRIVILEGES
MySQL 5.7+ 明确不建议直改系统表，不是“能不能”，而是“改了会埋雷”：
-
authentication_string字段内容依赖插件（如caching_sha2_password），手动填字符串可能变成无效哈希，用户连不上 - 漏掉
password_expired、account_locked、password_last_changed等字段，导致用户下次登录被强制改密或拒绝访问 -
FLUSH PRIVILEGES在高并发时会 reload 整个权限缓存，可能引发短暂连接拒绝，而ALTER USER是原子操作，不触发全局 reload
执行前必须检查的三件事
生成的 SQL 文件不是扔进去就跑，漏检一条就可能锁死一批应用账号：
- 用
head -20 reset.sql | grep -E "(ALTER USER|IDENTIFIED BY)"确认每行都是合法语句，且没出现空user或host（常见于视图或旧账号残留） - 抽样验证密码长度和字符集：
grep -oP "IDENTIFIED BY '\K[^']+" reset.sql | head -5 | while read p; do echo "$p" | wc -c; done，确保 ≥ 12 字符，不含控制符 - 确认当前执行账号有
SYSTEM_USER权限（或对mysql.user表有UPDATE权限），否则ALTER USER会静默失败（无报错但不生效）
执行后应用仍连不上？大概率是这两个状态没重置
密码改了，但 password_expired = 'Y' 或 account_locked = 'Y' 还挂着，应用照样被拒：
- 查状态：
SELECT user, host, password_expired, account_locked FROM mysql.user WHERE user IN ('app', 'report', 'api'); - 生成语句时务必带上：
PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCK——不是可选，是必须。8.0+ 默认开启账户锁定策略，多次失败登录就会锁，不显式解锁，新密码无效 - 别信“
ALTER USER自动处理”，它只改密码字段；过期和锁定是独立状态位，必须显式覆盖
真正麻烦的从来不是生成语句，而是确认每个目标用户当前是否处于可接受新密码的状态。线上跑之前，先在测试实例上用相同条件跑一遍全链路：查用户 → 生成语句 → 抽样校验 → 执行 → 应用连接验证。少跳任何一环，都可能换来凌晨三点的告警电话。
